يؤدي انتهاء صلاحية الجلسة غير الكافي إلى السماح للمهاجمين بالحفاظ على الوصول إلى الحساب لأن تغيير كلمة المرور لا يلغي جلسات الويب النشطة. يمكن للمهاجم الذي يمتلك كلمة مرور مسربة أو ملف تعريف ارتباط (cookie) للجلسة منسوخ الاحتفاظ بالوصول لمدة تصل إلى 30 يومًا، مما يمكنه من قراءة بيانات اعتماد التكامل، أو إنشاء مفاتيح API، أو تسجيل مفاتيح المرور (passkeys).