CVE-2026-125358

Nome do Software Vulnerável e Versões Afetadas Universal-modder versões anteriores ao commit e88f6876745427321eb755ebc98276063a962d8a

Description A falta de validação de Origem do WebSocket na classe HostLink dos mods de exemplo de passthrough permite que atacantes remotos executem comandos do Minecraft. Uma página web maliciosa aberta no navegador do jogador pode estabelecer uma conexão cross-site com o WebSocket de loopback não autenticado e enviar mensagens cmd, que são então executadas com autoridade de operador através da função WorldBridge.command().

Recommendations Atualize o Universal-modder para o commit e88f6876745427321eb755ebc98276063a962d8a ou posterior.