PT-2024-40392 · Laravel · Laravel
Publicado
2024-05-15
·
Atualizado
2024-05-15
Nenhuma
Não há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
Nome do software vulnerável e versões afetadas
Versões do Laravel anteriores à 4.1.26
Descrição
O problema diz respeito à segurança dos cookies de “lembrar-me”. Se um cookie de lembrança fosse sequestrado por outro usuário mal-intencionado, ele permaneceria válido por um longo período, mesmo após o verdadeiro proprietário da conta ter redefinido sua senha ou feito logout. Isso é resolvido com a introdução de uma nova coluna remember token na tabela do banco de dados de usuários, que atribui um novo token ao usuário cada vez que ele faz login e atualiza o token quando o usuário faz logout. Como resultado, se um cookie “lembrar-me” for sequestrado, basta fazer logout do aplicativo para invalidar o cookie.
Recomendações
Para versões anteriores à 4.1.26, atualize para a versão 4.1.26 ou posterior para incluir as melhorias de segurança para cookies “lembrar-me”, o que envolve adicionar uma nova coluna remember token à tabela de usuários do banco de dados para atribuir um novo token ao usuário a cada login e logout.
Session Fixation
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Laravel