CVE-2022-51016 in PocketMine-MP
Tóm tắt
Bởi VulDB • 07/09/2026
PocketMine-MP 3.x (trước phiên bản 3.27.0) không triển khai mã hóa giao thức Minecraft Bedrock, do đó máy chủ không thể xác minh rằng một khách kết nối có khóa riêng tương ứng với token đăng nhập của nó. Kẻ tấn công nắm bắt được thông tin đăng nhập hợp lệ từ phiên làm việc của người chơi khác (ví dụ: bằng cách lừa người chơi kết nối đến máy chủ do kẻ tấn công kiểm soát) có thể phát lại thông tin đăng nhập đó để giả danh nạn nhân và vượt qua xác thực XBOX Live cho đến khi token JWT hết hạn (thường là 2-3 ngày). Điều này ảnh hưởng đến các máy chủ trực tiếp truy cập được qua internet mà không nằm sau proxy với mã hóa đã được bật. Đã sửa trong phiên bản 4.0.0 và backport sang 3.27.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.