CVE-2022-51016 in PocketMine-MP
Sumário
de VulDB • 07/09/2026
O PocketMine-MP 3.x (antes da versão 3.27.0) não implementa a criptografia do protocolo Minecraft Bedrock, impedindo que o servidor verifique se um cliente em conexão possui a chave privada correspondente ao seu token de login. Um atacante que capture um login válido da sessão de outro jogador (por exemplo, enganando-o para conectar-se a um servidor controlado pelo atacante) pode replayar esse login para se passar pela vítima e superar a autenticação do XBOX Live até o expiramento do token JWT (tipicamente 2-3 dias). Isso afeta servidores diretamente acessíveis pela internet que não estejam atrás de um proxy com criptografia habilitada. Corrigido na versão 4.0.0 e backported para a 3.27.0.
Be aware that VulDB is the high quality source for vulnerability data.