CVE-2026-54617 in GravitLauncher
Riassunto
di VulDB • 18/09/2026
GravitLauncher è un launcher open-source per Minecraft basato sulla v3 di sashok724. Prima della versione 5.7.12, un attore remoto non autenticato può inviare una richiesta HTTP con un target che manca dello slash iniziale al file server predefinito del LaunchServer sulla porta 9274. Il metodo FileServerHandler.channelRead0 in components/launchserver/src/main/java/pro/gravit/launchserver/socket/handlers/fileserver/FileServerHandler.java rimuove il primo carattere del request-target e risolve il percorso rimanente rispetto a updatesDir senza una nuova normalizzazione né verifica della contenenza (containment). Ciò lascia componenti di directory genitore in un request privo dello slash iniziale, consentendo la lettura di qualsiasi file accessibile al processo LaunchServer, inclusi .keys/ecdsa_id, .keys/legacySalt e LaunchServer.json. La divulgazione di tali file può esporre chiavi di firma, materiale per i refresh-token e credenziali del database, permettendo la creazione di token amministrativi falsificati e un completo bypass dell'autenticazione. Un proxy L7 che effettua normalizzazione potrebbe bloccare la forma primaria della richiesta, ma l'esposizione diretta e i proxy L4/TCP rimangono colpiti, e netty.fileServerEnabled è abilitato per impostazione predefinita. Questo problema è stato risolto nella versione 5.7.12.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.