Weaknesses of type CWE-315

8 results

Armazenamento em claro de informações sensíveis em cookie

Cookies contendo dados sensíveis (senhas, tokens, dados pessoais) são armazenados sem criptografia no navegador ou nos logs do servidor. Um atacante com acesso ao dispositivo, rede ou logs consegue ler essas informações diretamente, comprometendo autenticação ou privacidade.

Example

Uma aplicação web grava o CPF do usuário em um cookie sem criptografar: `Set-Cookie: user_cpf=12345678900`. Qualquer pessoa inspecionando o navegador, interceptando o tráfego HTTP (não-HTTPS) ou acessando logs do servidor consegue ler o CPF.

How to mitigate

Use flags de segurança nos cookies (Secure, HttpOnly, SameSite), criptografe dados sensíveis antes de armazenar em cookies, evite guardar informações confidenciais neles e use HTTPS obrigatoriamente. Para autenticação, prefira tokens com expiração curta armazenados em memória ou com proteção adicional.

CVE-2018-19941—Cleartext Storage of Sensitive Information in CookiesEPSS 0.7%CVE-2024-41290HIGHFlatPress CMS v1.3.1 1.3 was discovered to use insecure methods to store authentication data via the cookie's component.EPSS 0.4%CVE-2024-24768MEDIUM1Panel set-cookie is missing the Secure keywordEPSS 0.3%CVE-2025-8528MEDIUMExrick xboot getMenuList sensitive information in a cookieEPSS 0.3%CVE-2025-4537LOWyangzongzhuan RuoYi-Vue Password login.vue sensitive information in a cookieEPSS 0.3%CVE-2024-8644CRITICALCleartext Storage of Sensitive Information in Oceanic Software's ValeAppEPSS 0.3%CVE-2021-34564MEDIUMIn WirelessHART-Gateway versions 3.0.9 a vulnerability allows to read and write sensitive data in a cookieEPSS 0.2%CVE-2026-25818CRITICALHMS Networks Ewon Flexy with firmware before 15.0s4, Cosy+ with firmware 22.xx before 22.1s6, and Cosy+ with firmware 23.xx before 23.0s3 haEPSS 0.1%