CWE-613

Podatność w urządzeniu Circutor Q-SMT (firmware 1.0.4) polega na braku daty wygaśnięcia tokenów uwierzytelniających używanych w aplikacji webowej. Atakujący, który przechwyci taki token, uzyskuje nieograniczony i trwały dostęp do interfejsu webowego urządzenia.

Aplikacja webowa FlagForge w wersjach od 2.2.0 do przed 2.3.1 nieprawidłowo obsługuje unieważnianie sesji po wylogowaniu użytkownika. Tokeny sesji oraz tokeny CSRF pozostają ważne po wylogowaniu, co umożliwia nieautoryzowany dostęp do chronionych zasobów.

Moduł Persistent Login dla systemu Drupal zawiera podatność klasy Insufficient Session Expiration (CWE-613), która umożliwia atakującemu nieautoryzowany dostęp do zasobów poprzez technikę Forceful Browsing. Podatność otrzymała ocenę CVSS 9.8 (CRITICAL), co wskazuje na bardzo wysokie ryzyko dla systemów, na których jest zainstalowany podatny moduł.

Podatność w Apache Airflow Providers FAB powoduje, że użytkownik nie może skutecznie wylogować się z aplikacji. Sesja pozostaje aktywna mimo próby wylogowania, co może prowadzić do nieautoryzowanego przejęcia konta.

xzs-mysql 3.8 zawiera podatność typu Insufficient Session Expiration (CWE-613), która pozwala atakującemu na korzystanie z aktywnej sesji usuniętego konta administratora. Krytyczny poziom zagrożenia wynika z możliwości uzyskania pełnego dostępu do systemu bez jakichkolwiek uprawnień wyjściowych.

Biblioteka Samly dla języka Elixir przed wersją 1.4.0 nieprawidłowo obsługuje wygasłe sesje SAML, zwracając je zamiast odrzucać. Stanowi to poważne zagrożenie dla kontroli dostępu, ponieważ atakujący może utrzymać dostęp do zasobów pomimo wygaśnięcia jego sesji uwierzytelnienia.

Insufficient Session Expiration in GitHub repository thorsten/phpmyfaq prior to 3.2.2.

Insufficient Session Expiration in GitHub repository linkstackorg/linkstack prior to v4.2.9.

Insufficient Session Expiration in GitHub repository fossbilling/fossbilling prior to 0.5.5.

In Siren Investigate before 13.2.2, session keys remain active even after logging out.

Insufficient Session Expiration in GitHub repository firefly-iii/firefly-iii prior to 6.

Fusiondirectory 1.3 suffers from Improper Session Handling.

Insufficient Session Expiration in GitHub repository librenms/librenms prior to 22.10.0.

Insufficient Session Expiration in GitHub repository ikus060/rdiffweb prior to 2.5.0.

Insufficient Session Expiration in GitHub repository cockpit-hq/cockpit prior to 2.2.0.

IBM Curam Social Program Management 8.0.0 and 8.0.1 does not invalidate session after logout which could allow an authenticated user to impersonate another user on the system. IBM X-Force ID: 218281.

IBM Curam Social Program Management 8.0.0 and 8.0.1 does not invalidate session after logout which could allow an authenticated user to impersonate another user on the system.

In Ifme, versions 1.0.0 to v.7.33.2 don’t properly invalidate a user’s session even after the user initiated logout. It makes it possible for an attacker to reuse the admin cookies either via local/network access or by other hypothetical attacks.

A CWE-614 Insufficient Session Expiration vulnerability exists that could allow an attacker to maintain an unauthorized access over a hijacked session to the charger station web server even after the legitimate user account holder has changed his password. Affected Products: EVlink City EVC1S22P4 / EVC1S7P4 (All versions prior to R8 V3.4.0.2 ), EVlink Parking EVW2 / EVF2 / EVP2PE (All versions prior to R8 V3.4.0.2), and EVlink Smart Wallbox EVB1A (All versions prior to R8 V3.4.0.2)

In Talkyard, regular versions v0.2021.20 through v0.2021.33 and dev versions v0.2021.20 through v0.2021.34, are vulnerable to Insufficient Session Expiration. This may allow an attacker to reuse the admin’s still-valid session token even when logged-out, to gain admin privileges, given the attacker is able to obtain that token (via other, hypothetical attacks)