CVE-2026-86201

Nome do Software Vulnerável e Versões Afetadas PocketMine-MP versões anteriores a 5.41.1

Description Um problema de negação de serviço existe no processamento do LoginPacket, onde estruturas grandes ou complexas em propriedades JWT de clientData desconhecidas causam logs excessivos sem sanitização. Atacantes podem enviar mensagens LoginPacket manipuladas contendo estruturas de objetos profundamente aninhadas ou massivas para desencadear condições de falta de memória (out-of-memory), desperdiçar tempo de CPU durante a serialização ou inundar o console, potencialmente travando o servidor. Isso ocorre porque a instância JsonMapper usada para processar o corpo do JWT é configurada para alertar sobre propriedades inesperadas em vez de rejeitá-las, e a função warnUndefinedJsonPropertyHandler tenta exportar o objeto malicioso sem limitações de comprimento.

Recommendations Atualize para a versão 5.41.1 ou posterior. Como medida paliativa temporária, plugins podem manipular o DataPacketReceiveEvent para capturar o LoginPacket e pré-processar o JWT de clientData, definindo a flag bExceptionOnUndefinedProperty como true usando o JsonMapper para rejeitar propriedades incomuns.