CVE-2026-86203

Nome do Software Vulnerável e Versões Afetadas PocketMine-MP versões anteriores a 5.39.2

Description O software falha ao validar o estado de despawn de uma entidade ao processar pacotes de ataque de clientes. Quando uma entidade ou jogador é marcado para despawn (como durante uma sequência de desconexão), ele permanece acessível na tabela de entidades do World. Ocorre uma condição de corrida quando um cliente envia um pacote de ataque no exato momento em que uma entidade está se desconectando, permitindo que o manipulador de morte seja executado múltiplas vezes. Isso resulta na duplicação de experiência e itens de inventário, pois eles são derrubados várias vezes enquanto os itens originais permanecem com o jogador que está se desconectando.

Recommendations Atualize para a versão 5.39.2 ou posterior. Como medida paliativa temporária, utilize plugins para manipular o EntityDamageByEntityEvent, verifique se a entidade vítima está marcada para despawn e, em caso afirmativo, cancele o evento.