CVE-2026-86200

Nome do Software Vulnerável e Versões Afetadas PocketMine-MP versões anteriores a 5.42.1

Description Um problema de negação de serviço existe no manipulador LoginPacket. Atacantes remotos podem injetar inúmeras propriedades irrelevantes no JWT (JSON Web Token) clientData, que é um meio compacto e seguro para URLs de representar reivindicações a serem transferidas entre duas partes. Isso ocorre porque a instância JsonMapper usada para processar o corpo do JWT está configurada para emitir avisos sobre propriedades inesperadas em vez de rejeitá-las. Ao criar pacotes de login maliciosos com propriedades desconhecidas excessivas, um invasor pode fazer com que o servidor inunde mensagens de aviso e desperdice tempo de CPU, levando à degradação do desempenho.

Recommendations Atualize para a versão 5.42.1 ou posterior. Como solução temporária, plugins podem manipular o DataPacketReceiveEvent para capturar o LoginPacket e pré-processar o JWT clientData usando o JsonMapper com a flag bExceptionOnUndefinedProperty definida como true para rejeitar tokens problemáticos.