Falhas do tipo CWE-614

65 resultados

Cookie sensível sem atributo Secure

Quando um cookie que contém dados sensíveis (sessão, autenticação, token) é criado sem a flag Secure, o navegador o envia também em conexões HTTP não criptografadas. Um atacante na rede (man-in-the-middle) consegue interceptar e roubar esse cookie, comprometendo a autenticação ou sessão do usuário.

Exemplo

Uma aplicação web autentica o usuário e cria um cookie de sessão com Set-Cookie: session_id=abc123; HttpOnly, mas esquece de adicionar Secure. Se o usuário acessar a página por HTTP em uma rede Wi-Fi pública, o cookie viaja em texto plano e pode ser capturado.

Como mitigar

Sempre adicione o atributo Secure em cookies que armazenem dados sensíveis (session_id, auth tokens): Set-Cookie: session_id=abc123; Secure; HttpOnly; SameSite=Strict. Force HTTPS em toda a aplicação e redirecione HTTP para HTTPS.

CVE-2026-1697MEDIUMUse of unsecure cookies for GraphicalData web service and WebClient web appEPSS 0.1%CVE-2026-15656MEDIUMIBM MAS uses axios-1.15.2, protobufjs-8.0.1 and undici-7.26 which is vulnerable to multiple CVEs, and contains vulnerabilities related to missing Secure attribute on mas-redirect-uri cookie and weak HMAC Session SecretEPSS 0.1%CVE-2024-30142LOWHCL BigFix Compliance is affected by a missing secure flag on a cookieEPSS 0.1%CVE-2026-32745MEDIUMIn JetBrains Datalore before 2026.1 session hijacking was possible due to missing secure attribute for cookie settingsEPSS 0.1%CVE-2025-52608LOWHCL iControl was affected by Missing Cookie Attributes vulnerability.EPSS 0.1%