Поддельные cookie (forged cookies)

Коротко: Подделанные или изменённые cookie сеанса, с помощью которых злоумышленник пытается выдать себя за другого, уже вошедшего в систему пользователя.

Подробнее: Если cookie сеанса можно угадать, украсть (например, через XSS) или просто воссоздать из-за слабого/отсутствующего метода подписи, злоумышленник может установить её в своём браузере, и сервер признает его исходным пользователем. Защита: криптографически подписанные случайные токены сеанса, флаги HttpOnly/Secure у cookie и короткое время жизни сеанса.

Подробности

Cookie можно подделать или украсть несколькими способами:

Кража через XSS           - вредоносный скрипт читает document.cookie и отправляет
Угадывание / воссоздание  - предсказуемые идентификаторы сеансов

См. также: cookie, сеанс