Oturum sabitleme
Saldırgan, kurbanın tarayıcısına (XSS, MITM ya da URL parametresiyle) bildiği bir oturum kimliği yerleştirir, kurbanın giriş yapmasını bekler ve kimliği doğrulanmış oturumu devralır.
Savunma: girişte oturum kimliğini yenilemek (anonimden doğrulanmışa geçerken yeniden üretmek). Çoğu web çatısı bunu varsayılan olarak yapar: Django’da request.session.cycle_key(), PHP’de session_regenerate_id(true), Express’te session.regenerate(). OWASP Top 10’un eski bir kategorisidir. Oturum ele geçirmeyle (girişten sonra çerezi çalmak) aynı şey değildir. Çerez yenileme ile Secure + HttpOnly + SameSite birleşince oturum hijyeni tamamlanır.