目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CWE-613 不充分的会话过期机制 类漏洞列表 479

CWE-613 不充分的会话过期机制 类弱点 479 条 CVE 漏洞汇总，含 AI 中文分析。

CWE-613 属于会话管理缺陷，指网站允许攻击者重用过期的会话凭据或会话 ID 进行授权。攻击者通常通过窃取或猜测旧会话令牌，在合法会话结束后继续访问受保护资源，从而绕过身份验证。开发者应确保会话在用户主动注销、超时或敏感操作后及时失效，并实施严格的会话 ID 轮换机制，防止旧令牌被复用，以保障系统安全。

MITRE CWE 官方描述
CWE：CWE-613 Insufficient Session Expiration（会话过期不足） 英文：根据 WASC 的描述，“Insufficient Session Expiration（会话过期不足）是指网站允许攻击者重用旧的会话凭据（session credentials）或会话 ID（session IDs）进行授权。”
常见影响 (1)
Access Control Bypass Protection Mechanism
缓解措施 (1)
Implementation Set sessions/credentials expiration date.
代码示例 (1)
The following snippet was taken from a J2EE web.xml deployment descriptor in which the session-timeout parameter is explicitly defined (the default value depends on the container). In this case the value is set to -1, which means that a session will never expire.
<web-app> [...snipped...] <session-config> <session-timeout>-1</session-timeout> </session-config> </web-app>
Bad · Java
CVE ID 标题 CVSS 风险等级 Published
CVE-2026-126658 ByteStash 1.5.10 至 1.6.2 会话过期不足漏洞 — ByteStash 5.4 Medium 2026-11-11
CVE-2026-126076 Action Pack 会话恢复漏洞 — rails 4.2 Medium 2026-11-10
CVE-2026-111243 Apache TomEE 过期 JWT 令牌接受漏洞 — Apache TomEE - - 2026-11-10
CVE-2026-123813 pyLoad REST API 权限撤销与密码修改会话未失效漏洞 — pyload 7.5 High 2026-11-09
CVE-2026-123799 SuperTokens Core 会话令牌未检查过期漏洞 — supertokens-core 7.4 High 2026-11-09
CVE-2026-113508 Apache Airflow 注销令牌撤销失败漏洞 — Apache Airflow - - 2026-11-09
CVE-2026-123598 Hickory DNS 0.25.0 至 0.26.0 DNSSEC 缓存投毒漏洞 — hickory-dns 3.7 Low 2026-11-08
CVE-2026-123597 Hickory DNS 因临时 DS 获取错误致 DNSSEC 缓存投毒漏洞。 — hickory-dns 3.7 Low 2026-11-08
CVE-2026-123528 Vikunja 2.7.1 前版本 HTTP 令牌会话过期不足漏洞 — vikunja 6.8 Medium 2026-11-08
CVE-2026-123493 Vikunja 2.4.0-2.7.1 机器人 API 令牌认证绕过漏洞 — vikunja 5.4 Medium 2026-11-08
CVE-2026-66986 HCL AION 存在多个安全漏洞。 — HCL AION 3.3 Low 2026-11-06
CVE-2026-84155 多 Worker 部署中登出后会话令牌仍有效漏洞 — CodeChecker 5.3 Medium 2026-11-06
CVE-2026-54375 VitaFit Android 2.8.1.0 会话令牌泄露漏洞 — VitaFit 8.4 High 2026-11-04
CVE-2026-121735 blueprintUE 4.3.4 前 账户确认令牌漏洞 — blueprintue-self-hosted-edition 3.7 Low 2026-11-03
CVE-2024-9517 WSO2 多产品刷新令牌授予令牌续期不当漏洞 — WSO2 API Manager 4.9 Medium 2026-11-02
CVE-2026-120340 CloudClassroom PHP 全局会话过期漏洞 — CloudClassroom-PHP-Project 3.7 Low 2026-11-02
CVE-2026-82559 Apache Wicket WebSocket 会话快照跨请求漏洞 — Apache Wicket 2.3 Low 2026-11-01
CVE-2026-63400 会话未因密码重置失效漏洞 — coop 2.3 Low 2026-10-30
CVE-2026-116251 pgAdmin 4 会话未随密码修改失效漏洞 — pgAdmin 4 4.2 Medium 2026-10-30
CVE-2026-119577 ArcadeDB 26.10.2 之前版本会话撤销不当漏洞 — arcadedb 6.8 Medium 2026-10-30
CVE-2026-118665 GraphQL Tools WebSocket 认证参数跨请求泄露 — graphql-tools 8.2 High 2026-10-28
CVE-2026-6647 WSO2 Identity Server OAuth 令牌撤销不彻底漏洞 — WSO2 Identity Server 7.4 High 2026-10-28
CVE-2026-3583 WSO2 多产品 OAuth2 范围执行不当导致令牌撤销失败漏洞 — WSO2 API Manager 3.1 Low 2026-10-28
CVE-2026-116894 REDAXO 5.21.5 前密码修改会话过期不足漏洞 — core 4.2 Medium 2026-10-27
CVE-2026-107146 twofactor_gauthenticator 会话过期不足漏洞 — twofactor_gauthenticator 6.3 Medium 2026-10-27
CVE-2026-95663 Apache Camel 远程代码执行漏洞 — Apache Camel 4.8 Medium 2026-10-26
CVE-2026-96616 Kiloview E3 NDI 编码器会话过期不足漏洞 — E3 Firmware 6.5 Medium 2026-10-22
CVE-2026-115362 OpenBao 2.6.4/2.7.1 AppRole 认证绕过漏洞 — openbao 2.2 Low 2026-10-22
CVE-2026-115356 OpenBao 2.6.4 前及 2.7.0-2.7.1 撤销后续期漏洞 — openbao 5.4 Medium 2026-10-22
CVE-2026-54238 Supabase Realtime REST 广播认证 JWT 过期漏洞 — realtime 3.1 Low 2026-10-22

CWE-613（不充分的会话过期机制） 是常见的弱点类别，本平台收录该类弱点关联的 479 条 CVE 漏洞。