CVE-2024-56733

Password Pusher versões 1.50.3 e anteriores

Foi relatada uma vulnerabilidade no Password Pusher em que um invasor pode copiar o cookie de sessão antes que o usuário faça logout, possibilitando potencialmente o sequestro de sessão. Embora o token de sessão seja substituído e invalidado após o logout, se um invasor conseguir capturar o cookie de sessão antes desse processo, ele poderá usar o token para obter acesso não autorizado à sessão do usuário até que o token expire ou seja apagado manualmente. Essa vulnerabilidade depende da capacidade do invasor de acessar o cookie de sessão durante uma sessão ativa, seja por meio de um ataque man-in-the-middle, explorando outra vulnerabilidade como XSS, ou por acesso direto ao dispositivo da vítima.

Para mitigar o risco, use sempre a versão mais recente do Password Pusher.

Se estiver hospedando por conta própria, certifique-se de que o Password Pusher seja hospedado exclusivamente por meio de conexões SSL para criptografar o tráfego e impedir que os cookies de sessão sejam interceptados em trânsito.

Implemente as melhores práticas de segurança local para proteger os sistemas, navegadores e dados dos usuários contra acesso não autorizado.

Considere implementar medidas de segurança adicionais, como expiração automática da sessão, reinicialização da sessão ao fazer login e logout, e cookies criptografados para mitigar ainda mais os riscos de sequestro de sessão.