PT-2024-40420 · Laravel · Laravel
Publicado
2024-05-15
·
Atualizado
2024-05-15
Nenhuma
Não há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
Nome do software vulnerável e versões afetadas
Versões do Laravel anteriores à 4.1.26
Descrição
O problema diz respeito à segurança dos cookies “lembrar-me”. Se um cookie de lembrança fosse sequestrado por outro usuário mal-intencionado, o cookie permaneceria válido por um longo período, mesmo após o verdadeiro proprietário da conta ter redefinido sua senha ou feito logout. Isso se deve à falta de um mecanismo de atualização de token quando o usuário faz logout ou redefine sua senha.
Recomendações
Para versões anteriores à 4.1.26, atualize para a versão 4.1.26 ou posterior para incluir a nova coluna remember token na tabela do banco de dados de usuários, que atribui um novo token ao usuário cada vez que ele faz login e atualiza o token quando o usuário faz logout, invalidando assim quaisquer cookies “lembrar-me” sequestrados.
Session Fixation
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Laravel