Falhas do tipo CWE-613

474 resultados

Expiração de Sessão Inadequada

Ocorre quando uma aplicação não encerra ou valida corretamente a sessão de um usuário após um período de inatividade ou quando deveria invalidá-la. Um atacante pode reutilizar um token de sessão expirado ou abandonado para se passar pelo usuário legítimo, contornando autenticação.

Exemplo

Um usuário faz login em um banco online, depois sai do navegador sem fazer logout. Horas depois, alguém acessa o histórico do navegador, encontra o cookie de sessão ainda válido e consegue acessar a conta bancária sem inserir credenciais novamente.

Como mitigar

Implemente timeout de sessão no servidor (invalide a sessão após X minutos de inatividade), force novo login em operações sensíveis, use tokens com expiração explícita (JWT com exp claim) e limpe cookies/tokens no logout. Sempre valide a sessão no lado do servidor antes de processar requisições.

CVE-2026-35594MEDIUMVikunja Link Share JWT tokens remain valid for 72 hours after share deletion or permission downgradeEPSS 0.3%CVE-2026-56665MEDIUMZITADEL: Missing Token Expiration (`exp`) Validation in JWT IdP ProviderEPSS 0.3%CVE-2026-33417MEDIUMWallos: Password Reset Tokens Never ExpireEPSS 0.3%CVE-2025-50484HIGHImproper session invalidation in the component /crm/change-password.php of PHPGurukul Small CRM v3.0 allows attackers to execute a session hEPSS 0.3%CVE-2025-50487HIGHImproper session invalidation in the component /bbdms/change-password.php of PHPGurukul Blood Bank & Donor Management System v2.4 allows attEPSS 0.3%CVE-2026-6848MEDIUMQuay: red hat quay: authentication bypass allows privileged actions without valid credentialsEPSS 0.3%CVE-2026-27933MEDIUMManyfold vulnerable to session hijack via cookie leakage in proxy cachesEPSS 0.3%CVE-2025-25019MEDIUMIBM QRadar Suite Software and IBM Cloud Pak for Security session fixationEPSS 0.3%CVE-2026-84203HIGHMemos 0.26.0 through 0.30.0 Insufficient Session Expiration on Password ChangeEPSS 0.3%CVE-2025-1198MEDIUMInsufficient Session Expiration in GitLabEPSS 0.3%CVE-2025-59786MEDIUMCookies are not Invalidated upon Logout and Password ChangeEPSS 0.3%CVE-2026-20748MEDIUMEveron api.everon.io Insufficient Session ExpirationEPSS 0.3%CVE-2024-48926MEDIUMUmbraco CMS logout page displayed before session expirationEPSS 0.3%CVE-2025-10223MEDIUMImproper Session Cleanup on Role Removal in Web Admin Panel in AxxonSoft Axxon One (C-Werk)EPSS 0.3%CVE-2026-32663MEDIUMIGL-Technologies eParking.fi Insufficient Session ExpirationEPSS 0.3%CVE-2024-22351MEDIUMIBM InfoSphere Information Server session fixationEPSS 0.2%CVE-2025-33005MEDIUMIBM Planning Analytics Local session fixationEPSS 0.2%CVE-2024-7998LOWIn affected versions of Octopus Server OIDC cookies were using the wrong expiration time which could result in them using the maximum lifespEPSS 0.2%CVE-2025-64708MEDIUMauthentik invitation expiry is delayed by at least 5 minutesEPSS 0.2%CVE-2026-34362MEDIUMAVideo's WebSocket Token Never Expires Due to Commented-Out Timeout Validation in verifyTokenSocket()EPSS 0.2%