Alguien se me acercó y me dijo que no le asignara un nuevo ID de sesión al iniciar sesión correctamente.
Básicamente me dijeron: el hecho de que use la misma cookie (con el mismo SID) en la página de inicio de sesión, así como la sesión autorizada restante hace que mi sitio web sea vulnerable a la reparación de la sesión.
En primer lugar, ni siquiera entiendo el término en este caso: esto no tiene nada que ver con la fijación de la sesión, ¿verdad? Mis SID se envían de un lado a otro utilizando HttpOnly y Secure HTML-Cookies. La fijación del significado llamando a una URL con un cierto SID no ocurrirá, porque mi sitio web no usa URL-SID.
No podría pensar de otra manera en que un potencial pirata informático podría establecer una sesión según sus deseos. La única forma en que podría exigirle que ejecutara un JS desde mi dominio y eso requeriría que el dominio sea vulnerable a XSS, ¿no?
Y, de nuevo, también siempre vinculo una solicitud de IP en una sesión, lo que significa que una vez que una solicitud diferente de IP de la que ya está vinculada a la sesión esté intentando usar esa sesión, invalidaré esta sesión y expulsaré al usuario.
¿Estoy siendo ignorante de una determinada circunstancia aquí o su sitio web no es vulnerable a la fijación de la sesión como se afirma? Busqué una buena cantidad de ejemplos con respecto a la fijación de la sesión y siento que no tengo necesidad de realizar ninguna acción aquí.