Session fixation
Attacco in cui l'aggressore inserisce un ID di sessione noto nel browser della vittima (via XSS, MITM o parametro nell'URL), attende che la vittima faccia il login e ne eredita la sessione autenticata.
Difesa: ruotare l'ID di sessione al login (rigenerarlo nel passaggio da anonimo ad autenticato). La maggior parte dei framework lo fa di default: Django request.session.cycle_key(), PHP session_regenerate_id(true), Express con session.regenerate(). Figurava nella OWASP Top 10 (categoria storica). Non va confuso con il session hijacking, il furto del cookie dopo il login. La rotazione, insieme a Secure, HttpOnly e SameSite, completa l'igiene delle sessioni.