Falhas do tipo CWE-613

549 resultados

Expiração de Sessão Inadequada

Ocorre quando uma aplicação não encerra ou valida corretamente a sessão de um usuário após um período de inatividade ou quando deveria invalidá-la. Um atacante pode reutilizar um token de sessão expirado ou abandonado para se passar pelo usuário legítimo, contornando autenticação.

Exemplo

Um usuário faz login em um banco online, depois sai do navegador sem fazer logout. Horas depois, alguém acessa o histórico do navegador, encontra o cookie de sessão ainda válido e consegue acessar a conta bancária sem inserir credenciais novamente.

Como mitigar

Implemente timeout de sessão no servidor (invalide a sessão após X minutos de inatividade), force novo login em operações sensíveis, use tokens com expiração explícita (JWT com exp claim) e limpe cookies/tokens no logout. Sempre valide a sessão no lado do servidor antes de processar requisições.

CVE-2021-37693MEDIUMRe-use of email tokens in DiscourseEPSS 0.8%CVE-2025-28059HIGHAn access control vulnerability in Nagios Network Analyzer 2024R1.0.3 allows deleted users to retain access to system resources due to improEPSS 0.8%CVE-2026-86462CRITICALApache Airflow FAB provider: FAB Admin password PATCH does not invalidate database-backed sessionsEPSS 0.8%CVE-2020-1724MEDIUMA flaw was found in Keycloak in versions before 9.0.2. This flaw allows a malicious user that is currently logged in, to see the personal inEPSS 0.8%CVE-2022-21652LOWInsufficient Session Expiration in shopwareEPSS 0.8%CVE-2026-26342HIGHTattile Smart+ / Vega / Basic <= 1.181.5 Insufficient Session Token ExpirationEPSS 0.8%CVE-2023-38489HIGHKirby vulnerable to Insufficient Session Expiration after a password changeEPSS 0.8%CVE-2021-25940HIGHArangoDB - Insufficient Session Expiration after Password ChangeEPSS 0.8%CVE-2021-41247LOWincomplete logout in JupyterHubEPSS 0.8%CVE-2026-82907CRITICALApache OFBiz: externalLoginKey honoured pre-auth, reusable and unboundEPSS 0.8%CVE-2022-41542MEDIUMdevhub 0.102.0 was discovered to contain a broken session control.EPSS 0.8%CVE-2024-29070CRITICALApache StreamPark: session not invalidated after logoutEPSS 0.8%CVE-2024-29401CRITICALxzs-mysql 3.8 is vulnerable to Insufficient Session Expiration, which allows attackers to use the session of a deleted admin to do anything.EPSS 0.8%CVE-2021-25985HIGHFactorJS - Insufficient Session Expiration Leads to a Local Account TakeoverEPSS 0.8%CVE-2023-1543MEDIUMInsufficient Session Expiration in answerdev/answerEPSS 0.8%CVE-2020-15218MEDIUMAdmin pages are cached and can be embeddedEPSS 0.8%CVE-2023-49091HIGHJwttoken in Cosmos server never expires after password changed and logging outEPSS 0.8%CVE-2023-22732LOWInsufficient Session Expiration in Administration in shopwareEPSS 0.8%CVE-2024-11208MEDIUMApereo CAS login session expirationEPSS 0.8%CVE-2020-1768MEDIUMExternal Interface does not invalidate sessionEPSS 0.7%