Joshua CybeRisk Vision – Insecure Session Management
| Title | Joshua CybeRisk Vision – Insecure Session Management |
| Discovery date | 18/02/2025 |
| Class | Insecure Session Management |
Disclosure timeline
| 28/02/2025 | First report of vulnerability shared with CybeRisk Vision team |
| 28/02/2025 | Fix released in production by CybeRisk Vision team |
| 30/04/2025 | CVC-2504-333 publicly released |
Vulnerability details
La funzionalità di logout non fa scadere il token di sessione, rendendolo riutilizzabile per altre chiamate HTTP autenticate.
Nel dettaglio, dopo aver utilizzato la funzionalità di “Logout” è stato possibile effettuare tempo dopo una richiesta al server utilizzando lo stesso token.
Come è possibile vedere nello screenshot il server risponde con “200 OK” accettando il token che dovrebbe essere scaduto da tempo.