Hallazgoscandidate-eps-nuevaeps-cookie_insegura-tramites-nuevaeps-com-co-542537f56c
Media

Cookie de sesion sin Secure en tramites.nuevaeps.com.co

Categoría

Cookie insegura

Estado

Activo

Confianza

medium

Observado

2026-07-03

Resumen

Chequeo pasivo 2026-07-03 observo ASP.NET_SessionId sin Secure en tramites.nuevaeps.com.co. El hallazgo agregado original queda en revision hasta separar alcance.

Por qué importa

Una cookie de sesion sin Secure puede viajar por HTTP si una navegacion o redireccion no fuerza HTTPS antes de enviar la cookie.

Trazabilidad

Primera aparición

2026-07-03

Revisión

2026-06-29

Publicación

2026-06-29

Solución

Revision: promote2026-06-29
Publicado como hallazgo activo2026-06-29
Primera aparicion conocida en findings.json2026-07-03

Cómo mitigar

  • Setear `Secure` en cookies de sesión (solo viajan por HTTPS).
  • `HttpOnly` para evitar acceso desde JavaScript (mitiga XSS).
  • `SameSite=Lax` o `Strict` para mitigar CSRF.

Entidades afectadas (1)

ID: candidate-eps-nuevaeps-cookie_insegura-tramites-nuevaeps-com-co-542537f56c·Origen: Pipeline manual