Quando configurado com a opção de cookie assinado, o plugin não interrompe o processamento quando a verificação de assinatura reporta um valor inválido. Em vez disso, ele passa o valor original do cookie para o decodificador de sessão, permitindo que uma sessão com assinatura inválida seja descriptografada. Isso ocorre se uma aplicação utilizar um segredo de assinatura de cookie separado da chave de criptografia de sessão e rotacionar apenas o segredo de assinatura. Um invasor que possua um cookie de sessão criptografado e não expirado pode remover a assinatura obsoleta para continuar usando a sessão. O invasor não pode forjar dados de sessão, estender a expiração ou contornar a rotação da chave de criptografia.