Falhas do tipo CWE-613

473 resultados

Expiração de Sessão Inadequada

Ocorre quando uma aplicação não encerra ou valida corretamente a sessão de um usuário após um período de inatividade ou quando deveria invalidá-la. Um atacante pode reutilizar um token de sessão expirado ou abandonado para se passar pelo usuário legítimo, contornando autenticação.

Exemplo

Um usuário faz login em um banco online, depois sai do navegador sem fazer logout. Horas depois, alguém acessa o histórico do navegador, encontra o cookie de sessão ainda válido e consegue acessar a conta bancária sem inserir credenciais novamente.

Como mitigar

Implemente timeout de sessão no servidor (invalide a sessão após X minutos de inatividade), force novo login em operações sensíveis, use tokens com expiração explícita (JWT com exp claim) e limpe cookies/tokens no logout. Sempre valide a sessão no lado do servidor antes de processar requisições.

CVE-2025-11699HIGHCVE-2025-11699EPSS 0.4%CVE-2025-59841CRITICALFlagForgeCTF's Improper Session Handling Allows Access After LogoutEPSS 0.4%CVE-2021-46279MEDIUMSession Fixation and Insufficient Session ExpirationEPSS 0.4%CVE-2024-8888CRITICALInsufficient Session Expiration vulnerability on CIRCUTOR Q-SMTEPSS 0.4%CVE-2026-54479MEDIUMEVoke Systems EVoke CSMS Insufficient Session ExpirationEPSS 0.4%CVE-2026-64829CRITICALQuestion2Answer 1.8.8 Session Fixation via Forgot-Password FlowEPSS 0.4%CVE-2025-42602HIGHImproper Authentication Vulnerability in Meon KYC solutionsEPSS 0.4%CVE-2024-35048MEDIUMAn issue in SurveyKing v1.3.1 allows attackers to execute a session replay attack after a user changes their password.EPSS 0.4%CVE-2022-39234MEDIUMuser session persists even after permanently deleting account in GLPIEPSS 0.4%CVE-2026-63089CRITICALWireGuard Easy Weak Token Generation Information Disclosure via OTL RouteEPSS 0.4%CVE-2025-46344MEDIUMAuth0 NextJS SDK v4 Missing Session InvalidationEPSS 0.4%CVE-2024-22358MEDIUMIBM UrbanCode Deploy session fixationEPSS 0.4%CVE-2021-35473CRITICALAn issue was discovered in LemonLDAP::NG before 2.0.12. There is a missing expiration check in the OAuth2.0 handler, i.e., it does not verifEPSS 0.4%CVE-2024-13280CRITICALPersistent Login - Moderately critical - Access bypass - SA-CONTRIB-2024-044EPSS 0.4%CVE-2022-24732MEDIUMMaddy Mail Server does not implement account expiryEPSS 0.4%CVE-2026-45791MEDIUMDokploy: Password Change Does Not Revoke Active SessionsEPSS 0.4%CVE-2024-4680LOWInsufficient Session Expiration in zenml-io/zenmlEPSS 0.4%CVE-2026-53926MEDIUMNocoDB: OAuth Tokens Persist Through Security EventsEPSS 0.4%CVE-2023-20903MEDIUMThis disclosure regards a vulnerability related to UAA refresh tokens and external identity providers.Assuming that an external identity proEPSS 0.4%CVE-2024-41827HIGHIn JetBrains TeamCity before 2024.07 access tokens could continue working after deletion or expirationEPSS 0.4%