Hallazgoscandidate-esap-cookie_insegura-78ba00080b
Alta

ESAP: Cookies sin atributos defensivos completos

Categoría

Cookie insegura

Estado

Activo

Confianza

high

Observado

2026-06-28

Resumen

ESAP emite cookies con atributos defensivos incompletos en la portada publica.

Por qué importa

Cookies sin atributos defensivos completos aumentan riesgo de abuso de sesion o degradan controles del navegador.

Trazabilidad

Primera aparición

2026-06-28

Revisión

2026-06-28

Publicación

2026-06-28

Solución

Primera aparicion conocida en findings.json2026-06-28
Revision: promote2026-06-28
Publicado como hallazgo activo2026-06-28

Cómo mitigar

  • Setear `Secure` en cookies de sesión (solo viajan por HTTPS).
  • `HttpOnly` para evitar acceso desde JavaScript (mitiga XSS).
  • `SameSite=Lax` o `Strict` para mitigar CSRF.

Entidades afectadas (1)

ID: candidate-esap-cookie_insegura-78ba00080b·Origen: Pipeline manual