Falhas do tipo CWE-613

472 resultados

Expiração de Sessão Inadequada

Ocorre quando uma aplicação não encerra ou valida corretamente a sessão de um usuário após um período de inatividade ou quando deveria invalidá-la. Um atacante pode reutilizar um token de sessão expirado ou abandonado para se passar pelo usuário legítimo, contornando autenticação.

Exemplo

Um usuário faz login em um banco online, depois sai do navegador sem fazer logout. Horas depois, alguém acessa o histórico do navegador, encontra o cookie de sessão ainda válido e consegue acessar a conta bancária sem inserir credenciais novamente.

Como mitigar

Implemente timeout de sessão no servidor (invalide a sessão após X minutos de inatividade), force novo login em operações sensíveis, use tokens com expiração explícita (JWT com exp claim) e limpe cookies/tokens no logout. Sempre valide a sessão no lado do servidor antes de processar requisições.

CVE-2024-31999HIGH@fastify/secure-session: Reuse of destroyed secure session cookieEPSS 0.6%CVE-2023-4190MEDIUMInsufficient Session Expiration in admidio/admidioEPSS 0.6%CVE-2025-24896HIGHMisskey allows token to remain valid in cookie after signing outEPSS 0.6%CVE-2023-22492MEDIUMRefreshToken invalidation vulnerabilityEPSS 0.6%CVE-2026-14950CRITICALFrauscher Sensortechnik: FDS102 for FAdC/FAdCi R2 is vulnerable to Insufficient Session Expiration due to flawed session expiration logicEPSS 0.6%CVE-2024-0943LOWTotolink N350RT cstecgi.cgi session expirationEPSS 0.6%CVE-2020-6292MEDIUMLogout mechanism in SAP Disclosure Management, version 10.1, does not invalidate one of the session cookies, leading to Insufficient SessionEPSS 0.6%CVE-2024-25954MEDIUMDell PowerScale OneFS, versions 9.5.0.x through 9.7.0.x, contain an insufficient session expiration vulnerability. A remote unauthenticated EPSS 0.6%CVE-2023-5865HIGHInsufficient Session Expiration in thorsten/phpmyfaqEPSS 0.6%CVE-2023-40025MEDIUMArgo CD web terminal session doesn't expireEPSS 0.6%CVE-2022-50692MEDIUMSOUND4 IMPACT/FIRST/PULSE/Eco <=2.x Insufficient Session Expiration VulnerabilityEPSS 0.6%CVE-2023-23929HIGHRefresh tokens do not expire in Vantage6EPSS 0.6%CVE-2026-12796MEDIUMBerriAI litellm SSO Authentication Flow ui_sso.py get_redirect_response_from_openid session expirationEPSS 0.6%CVE-2023-4126MEDIUMInsufficient Session Expiration in answerdev/answerEPSS 0.6%CVE-2026-48329LOWColdFusion | Insufficient Session Expiration (CWE-613)EPSS 0.6%CVE-2022-2782CRITICALIn affected versions of Octopus Server it is possible for a session token to be valid indefinitely due to improper validation of the sessionEPSS 0.6%CVE-2026-44383HIGHHydro-Québec Le Circuit Electrique charging station backend Insufficient Session ExpirationEPSS 0.6%CVE-2024-45386HIGHA vulnerability has been identified in SIMATIC PCS neo V4.0 (All versions), SIMATIC PCS neo V4.1 (All versions < V4.1 Update 2), SIMATIC PCSEPSS 0.6%CVE-2026-55250HIGHMaravel-Framework Token Replay Vulnerability via Premature JWT Blacklist Eviction in Tagged CachesEPSS 0.6%CVE-2026-73180MEDIUMApache Tomcat: Authenticated WebSocket session survives end of HTTP sessionEPSS 0.5%