Falhas do tipo CWE-1465
1 resultadoInvalidação inadequada de sessão após logout do usuário
Ocorre quando a aplicação não encerra de fato a sessão do usuário ao fazer logout, deixando o identificador de sessão (cookie, token ou equivalente) ainda válido no servidor. Mesmo que o navegador descarte o cookie, quem tiver uma cópia desse identificador continua autenticado como o usuário. O risco é maior em ambientes compartilhados ou quando o token foi interceptado ou vazado.
Um usuário encerra a sessão em um computador público, mas o token de sessão continua aceito pela API por horas, permitindo que outra pessoa, com o token copiado, acesse a conta sem senha.
Invalide a sessão no servidor durante o logout (removendo-a do armazenamento de sessões ou colocando o token na lista de revogação) e não confie apenas na exclusão do cookie no cliente. Também defina tempos de expiração curtos e teste explicitamente o cenário de reuso de token após logout.