CVE-2025-56643
KrytyczneStreszczenie
Requarks Wiki.js 2.5.307 nie unieważnia poprawnie aktywnych tokenów JWT po wylogowaniu użytkownika. W rezultacie wcześniej wydane tokeny pozostają ważne i mogą być ponownie użyte do uzyskania dostępu do systemu, nawet po wylogowaniu. Problem dotyczy logiki resolvera uwierzytelniania i wpływa zarówno na punkt końcowy GraphQL, jak i mechanizm wylogowania.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do systemu w przypadku skompromitowania tokenu, co może prowadzić do naruszenia poufności danych.
Rekomendacja
Zaleca się aktualizację do wersji z poprawką oraz wdrożenie mechanizmu unieważniania tokenów po wylogowaniu.
Oryginalny opis (angielski, źródło NVD)
Requarks Wiki.js 2.5.307 does not properly revoke or invalidate active JWT tokens when a user logs out. As a result, previously issued tokens remain valid and can be reused to access the system, even after logout. This behavior affects session integrity and may allow unauthorized access if a token is compromised. The issue is present in the authentication resolver logic and affects both the GraphQL endpoint and the logout mechanism.