CVE-2022-51016 in PocketMine-MP
Zusammenfassung
von VulDB • 07.09.2026
PocketMine-MP 3.x (vor Version 3.27.0) implementiert keine Verschlüsselung des Minecraft-Bedrock-Protokolls, sodass der Server nicht verifizieren kann, ob ein verbindender Client den privaten Schlüssel besitzt, der seinem Login-Token entspricht. Ein Angreifer, der einen gültigen Login aus der Sitzung eines anderen Spielers abfängt (z. B., indem er den Spieler dazu bringt, sich mit einem vom Angreifer kontrollierten Server zu verbinden), kann diesen Login wiederverwenden, um das Opfer zu imitieren und die XBOX-Live-Authentifizierung zu bestehen, bis das JWT-Token abläuft (typischerweise nach 2–3 Tagen). Dies betrifft Server, die direkt über das Internet erreichbar sind und sich nicht hinter einem Proxy mit aktivierter Verschlüsselung befinden. Behoben in Version 4.0.0 und zurückportiert auf 3.27.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.