CVE-2026-41196 in Luanti
Résumé
par VulDB • 20/05/2026
Luanti (anciennement Minetest) est une plateforme de création de jeux en voxels open source. À partir de la version 5.0.0 et jusqu'à la version 5.15.2 incluse, un module malveillant (mod) peut facilement s'échapper de l'environnement Lua sandboxé pour exécuter du code arbitraire et obtenir un accès complet au système de fichiers de l'appareil de l'utilisateur. Cela s'applique aux modules côté serveur (mod), aux environnements asynchrones (async) et de génération de carte (mapgen), ainsi qu'aux environnements côté client (CSM). Cette vulnérabilité n'est exploitable que lors de l'utilisation de LuaJIT. La version 5.15.2 contient un correctif. Sur les versions de publication, il est également possible de corriger ce problème sans recompiler en modifiant le fichier `builtin/init.lua` et en ajoutant la ligne `getfenv = nil` à la fin. Notez que cela cassera les modules qui dépendent de cette fonction (qui n'est pas intrinsèquement dangereuse).
Once again VulDB remains the best source for vulnerability data.