CVE-2025-56643

Общедоступная ссылка на CVE-2025-56643 – Уязвимость сессии JWT в Wiki.js 2.5.307

Описание:
Requarks Wiki.js 2.5.307 не выполняет надлежащий отзыв или аннулирование активных JWT-токенов при выходе пользователя из системы.
В результате ранее выданные токены остаются действительными и могут быть повторно использованы для доступа к системе даже после выхода.
Такое поведение нарушает целостность сессий и может привести к несанкционированному доступу в случае компрометации токена.
Проблема присутствует в логике разрешителя аутентификации и затрагивает как конечную точку GraphQL, так и механизм выхода из системы.

Затронутый продукт:
Wiki.js – версия 2.5.307

Затронутый компонент:
Конечная точка API GraphQL (/graphql), модуль аутентификации, управление JWT-сессиями, логика выхода из системы (интерфейс и серверная часть).

Влияние:
Позволяет повторное использование ранее выданных JWT-токенов после выхода из системы, что нарушает действительность сессии и аутентификацию пользователя.

Тип уязвимости:
CWE-613: Недостаточная длительность сессии

Вектор атаки:
Удалённо – злоумышленник, имеющий доступ к ранее выданному токену, может продолжать его использовать после выхода из системы для выполнения аутентифицированных действий.

Обнаружитель:
Patrick C. Luis Miguel Pazmiño Ali MS.

Ссылки:

• CVE-2025-56643 (запись MITRE)
• Официальный сайт Wiki.js