Falhas do tipo CWE-539

7 resultados

Armazenamento de informações sensíveis em cookies persistentes

Ocorre quando dados sensíveis (senhas, tokens de autenticação, chaves de API) são gravados em cookies persistentes, que ficam armazenados no disco do cliente por longo período. Um atacante com acesso à máquina do usuário, ou que intercepte o cookie durante transmissão, consegue roubar essas credenciais e usá-las para impersonar o usuário.

Exemplo

Uma aplicação web salva a senha do usuário em um cookie com expiração de 1 ano para 'conveniência'. Um malware no computador da vítima lê esse arquivo de cookie do navegador e extrai a senha, comprometendo a conta.

Como mitigar

Nunca armazene dados sensíveis em cookies — use apenas tokens de sessão de curta duração (expiração de minutos a horas). Se precisar persistir autenticação, utilize mecanismos seguros como refresh tokens com expiração curta e HttpOnly + Secure flags obrigatoriamente ativadas.

CVE-2023-30861HIGHFlask vulnerable to possible disclosure of permanent session cookie due to missing Vary: Cookie headerEPSS 1.3%CVE-2021-27463—A vulnerability has been found in multiple revisions of Emerson Rosemount X-STREAM Gas Analyzer. The affected applications utilize persistenEPSS 0.9%CVE-2026-35192LOWSession fixation via public cached pages and SESSION_SAVE_EVERY_REQUESTEPSS 0.5%CVE-2025-27673CRITICALVasion Print (formerly PrinterLogic) before Virtual Appliance Host 22.0.843 Application 20.0.1923 allows Cookie Returned in Response Body OVEPSS 0.5%CVE-2024-39275HIGHAdvantech ADAM-5630 Use of Persistent Cookies Containing Sensitive InformationEPSS 0.4%CVE-2025-52633LOWHCL AION is susceptible to Missing Content-Security-PolicyEPSS 0.2%CVE-2026-24318MEDIUMInsecure Session Management vulnerability in SAP BusinessObjects Business Intelligence PlatformEPSS 0.2%