Media
Cookie de sesion sin Secure en tramites.nuevaeps.com.co
Categoría
Cookie insegura
Estado
ActivoConfianza
medium
Observado
2026-07-03
Resumen
Chequeo pasivo 2026-07-03 observo ASP.NET_SessionId sin Secure en tramites.nuevaeps.com.co. El hallazgo agregado original queda en revision hasta separar alcance.
Por qué importa
Una cookie de sesion sin Secure puede viajar por HTTP si una navegacion o redireccion no fuerza HTTPS antes de enviar la cookie.
Trazabilidad
Primera aparición
2026-07-03
Revisión
2026-06-29
Publicación
2026-06-29
Solución
—
Revision: promote2026-06-29
Publicado como hallazgo activo2026-06-29
Primera aparicion conocida en findings.json2026-07-03
Cómo mitigar
- •Setear `Secure` en cookies de sesión (solo viajan por HTTPS).
- •`HttpOnly` para evitar acceso desde JavaScript (mitiga XSS).
- •`SameSite=Lax` o `Strict` para mitigar CSRF.