Falhas do tipo CWE-613

473 resultados

Expiração de Sessão Inadequada

Ocorre quando uma aplicação não encerra ou valida corretamente a sessão de um usuário após um período de inatividade ou quando deveria invalidá-la. Um atacante pode reutilizar um token de sessão expirado ou abandonado para se passar pelo usuário legítimo, contornando autenticação.

Exemplo

Um usuário faz login em um banco online, depois sai do navegador sem fazer logout. Horas depois, alguém acessa o histórico do navegador, encontra o cookie de sessão ainda válido e consegue acessar a conta bancária sem inserir credenciais novamente.

Como mitigar

Implemente timeout de sessão no servidor (invalide a sessão após X minutos de inatividade), force novo login em operações sensíveis, use tokens com expiração explícita (JWT com exp claim) e limpe cookies/tokens no logout. Sempre valide a sessão no lado do servidor antes de processar requisições.

CVE-2026-20895MEDIUMEV2GO ev2go.io Insufficient Session ExpirationEPSS 0.4%CVE-2023-45718LOWHCL Sametime is impacted by a failure to invalidate sessionsEPSS 0.4%CVE-2023-40695MEDIUMIBM Cognos Controller session fixationEPSS 0.4%CVE-2026-63753MEDIUMSurrealDB before 3.1.0 Authentication Bypass via LIVE QueryEPSS 0.4%CVE-2025-0138LOWPrisma Cloud Compute Edition: Insufficient Session Expiration Vulnerability in the Web InterfaceEPSS 0.4%CVE-2026-60053CRITICALApache Answer: Residual Administrative API Key Access After Role or Account RevocationEPSS 0.3%CVE-2025-61775MEDIUMVickey's unexpired email confirmation link can be reused to send repeated confirmation emailsEPSS 0.3%CVE-2024-36523MEDIUMAn access control issue in Wvp GB28181 Pro 2.0 allows users to continue to access information in the application after deleting their own orEPSS 0.3%CVE-2025-55705HIGHEVMAPA Insufficient Session ExpirationEPSS 0.3%CVE-2025-25252MEDIUMAn Insufficient Session Expiration vulnerability [CWE-613] in FortiOS SSL VPN 7.6.0 through 7.6.2, 7.4.0 through 7.4.6, 7.2.0 through 7.2.10EPSS 0.3%CVE-2026-73611HIGHFile Browser 2.50.0 through 2.63.21 JWT Expiration BypassEPSS 0.3%CVE-2026-26290MEDIUMEV Energy ev.energy Insufficient Session ExpirationEPSS 0.3%CVE-2022-40228LOWIBM DataPower Gateway session fixationEPSS 0.3%CVE-2019-5647MEDIUMRapid7 AppSpider Chrome Plugin Insufficient Session ExpirationEPSS 0.3%CVE-2019-14826MEDIUMA flaw was found in FreeIPA versions 4.5.0 and later. Session cookies were retained in the cache after logout. An attacker could abuse this EPSS 0.3%CVE-2026-26060MEDIUMFleet: Password reset tokens remain valid after password change for 24 hoursEPSS 0.3%CVE-2025-55162MEDIUMEnvoy: oAuth2 Filter Signout route will not clear cookies because of missing "secure;" flagEPSS 0.3%CVE-2026-9162MEDIUMGlobal session revocation does not invalidate active WebSocket connectionsEPSS 0.3%CVE-2026-34503HIGHOpenClaw < 2026.3.28 - Incomplete WebSocket Session Termination on Device Removal and Token RevocationEPSS 0.3%CVE-2026-88262HIGHInsufficient session expiration vulnerability in bizwell xClick allows Authentication Bypass. This issue affects xClick: R2, R3, and R3.1.EPSS 0.3%