2026-06-11
O que é session fixation — fazer a vítima logar com um ID que o invasor já conhece
Session fixation faz a vítima usar um ID de sessão conhecido pelo invasor e então se passa por ela depois que ela loga com esse ID. A defesa principal: regenerar o ID de sessão no login (e na mudança de privilégio). Não aceite IDs da URL e defina HttpOnly/Secure/SameSite nos cookies.