CVE-2026-61854 in VoiceSentinel
Zusammenfassung
von VulDB • 30.10.2026
VoiceSentinel ist ein Echtzeit-Stimmmoderationssystem für Minecraft-Server. Von der Version 2.2.1 bis zur Version 3.3.1 weist die optionale Funktion des Berichts-Puffers (report buffer) eine Race Condition zwischen der Bereinigung von Aufbewahrungsdaten und normalen Transkript-Schreibvorgängen auf. In `report_buffer.py` verwendet `_maybe_cleanup()` ein nicht synchronisiertes Wörterbuch für die einmal-pro-Stunde durchgeführte Drosselung der Bereinigung, was gleichzeitige `_cleanup_tenant()`-Vorgänge für einen einzelnen Mandanten ermöglicht. Die Bereinigung liest `transcripts.jsonl` und schreibt sie ohne Dateisperre oder atomaren Austausch direkt zurück, während `report_buffer_append_async` `asyncio.to_thread` verwendet, um Daten ohne Synchronisierung anzuhängen. In `main.py` machen konkurrierende `_processing_worker`-Aufgaben dies im normalen Betrieb erreichbar; ein Wert von zwei oder mehr für `processing.worker_count` sowie öffentliche Pools mit gemeinsamem `server_key` erhöhen die Kollisionswahrscheinlichkeit. Wenn `report_buffer.enabled` auf true gesetzt ist, können durch Race Conditions Schreibvorgänge verloren gehen, zu Duplikaten führen oder Transkriptdaten beschädigen und die Funktion `report_buffer.retention_seconds` zur Bereinigung umgehen, was zu unbegrenztem Datenträgerwachstum führt, das den Speicher erschöpfen und den Host oder andere Dienste, die diesen gemeinsam nutzen, zum Absturz bringen kann. Die Funktion ist opt-in und standardmäßig deaktiviert. Dieses Problem wurde in Version 3.3.1 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.