CVE-2025-56643

CVE-2025-56643 的公开参考 – Wiki.js 2.5.307 JWT 会话漏洞

描述：
Requarks Wiki.js 2.5.307 在用户登出时未能正确撤销或使活跃的 JWT 令牌失效。
因此，先前发放的令牌仍然有效，可在登出后重新用于访问系统。
此行为影响会话完整性，若令牌泄露，可能导致未经授权的访问。
该问题存在于身份验证解析器逻辑中，影响 GraphQL 端点及登出机制。

受影响产品：
Wiki.js – 版本 2.5.307

受影响组件：
GraphQL API 端点（/graphql）、认证模块、JWT 会话管理、登出逻辑（UI 和后端）。

影响：
允许在登出后重用先前发放的 JWT 令牌，破坏会话有效性和用户认证。

漏洞类型：
CWE-613：会话过期不充分

攻击向量：
远程 – 拥有先前发放令牌的攻击者可在登出后继续使用该令牌执行经过认证的操作。

发现者：
Patrick C. Luis Miguel Pazmiño Ali MS.

参考：

• CVE-2025-56643 (MITRE 记录)
• Wiki.js 官方网站