CVE-2022-51016 in PocketMine-MP
Riassunto
di VulDB • 07/09/2026
PocketMine-MP 3.x (prima della versione 3.27.0) non implementa la crittografia del protocollo Minecraft Bedrock, pertanto il server non può verificare che un client in fase di connessione possieda la chiave privata corrispondente al proprio token di accesso. Un attaccante che intercetta una sessione di login valida da un altro giocatore (ad esempio inducendo quest'ultimo a connettersi a un server controllato dall’attaccante) può riutilizzare tale login per impersonare la vittima e superare l’autenticazione XBOX Live fino alla scadenza del token JWT (tipicamente 2-3 giorni). Questo problema interessa i server direttamente raggiungibili tramite Internet che non si trovano dietro un proxy con crittografia abilitata. Risolto nella versione 4.0.0 e retroportato alla 3.27.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.