ako som spomenul
utocnik dokaze nainjectovat lubovolnu hodnotu pre PHPSESSID (v pripade, ze uzivatel je neautentizovany), aplikacia tuto hodnotu akceptuje, po uspesnej autentizacii pouzivatela tuto hodnotu nepregeneruje, po odhlaseni pouzivatela neinvaliduje a znova ju pouzije nasledne pre dalsieho pouzivatela, ktory sa z daneho prehliadaca prihlasi.

nejde tu o ziadne viazanie session na specificku IP adresu, ale chybnu implementaciu session managementu, vid predosly link, ktory si si urcite nepozrel, sudiac podla Tvojho prispevku.

feature simultanych prihlaseni by som riesil urcite inak.