Falhas do tipo CWE-613

473 resultados

Expiração de Sessão Inadequada

Ocorre quando uma aplicação não encerra ou valida corretamente a sessão de um usuário após um período de inatividade ou quando deveria invalidá-la. Um atacante pode reutilizar um token de sessão expirado ou abandonado para se passar pelo usuário legítimo, contornando autenticação.

Exemplo

Um usuário faz login em um banco online, depois sai do navegador sem fazer logout. Horas depois, alguém acessa o histórico do navegador, encontra o cookie de sessão ainda válido e consegue acessar a conta bancária sem inserir credenciais novamente.

Como mitigar

Implemente timeout de sessão no servidor (invalide a sessão após X minutos de inatividade), force novo login em operações sensíveis, use tokens com expiração explícita (JWT com exp claim) e limpe cookies/tokens no logout. Sempre valide a sessão no lado do servidor antes de processar requisições.

CVE-2022-3867LOWNomad Event Stream Subscriber Using a Token with TTL Receives Updates Until Garbage CollectedEPSS 0.5%CVE-2024-29402MEDIUMcskefu v7 suffers from Insufficient Session Expiration, which allows attackers to exploit the old session for malicious activity.EPSS 0.5%CVE-2025-49152HIGHInsufficient Session Expiration in MICROSENS NMP Web+EPSS 0.5%CVE-2022-24744LOWInsufficient Session Expiration in shopwareEPSS 0.5%CVE-2023-41041LOWUser session is still usable after logout in graylog2-server EPSS 0.5%CVE-2023-4005LOWInsufficient Session Expiration in fossbilling/fossbillingEPSS 0.5%CVE-2024-52311MEDIUMdata.all does not invalidate authentication token upon user logoutEPSS 0.5%CVE-2026-81637LOWReplayable OAuth2 CSRF state retained after a failed callback in AshAuthenticationEPSS 0.5%CVE-2024-0350LOWSourceCodester Engineers Online Portal session expirationEPSS 0.5%CVE-2026-24472MEDIUMHono cache middleware ignores "Cache-Control: private" leading to Web Cache DeceptionEPSS 0.5%CVE-2024-27779MEDIUMAn insufficient session expiration vulnerability [CWE-613] in FortiSandbox FortiSandbox version 4.4.4 and below, version 4.2.6 and below, 4.EPSS 0.5%CVE-2026-63175HIGHCross-Capture Session Data Leakage Due to Shared Mutable State in Looklyloo - PlaywrightCaptureEPSS 0.5%CVE-2026-65984HIGHFUXA: JWT lifecycle flaws allow deleted or demoted users to retain privileged sessionsEPSS 0.5%CVE-2026-9705MEDIUMKeycloak: keycloak: attacker can re-enable and take over disabled clients via registration access tokenEPSS 0.5%CVE-2025-4754LOWMissing Session Revocation on Logout in ash_authentication_phoenixEPSS 0.5%CVE-2021-47663HIGHImproper session handlingEPSS 0.5%CVE-2023-40537HIGHMulti-blade VIPRION Configuration utility session cookie vulnerabilityEPSS 0.5%CVE-2026-59219HIGHOpen WebUI: Realtime endpoints accept Redis-revoked JWTs after signout/backchannel logoutEPSS 0.5%CVE-2023-46158MEDIUMIBM WebSphere Application Server session fixationEPSS 0.5%CVE-2022-48317MEDIUMInsecure Termination of RestAPI Session TokensEPSS 0.5%