Zaloguj się
Deutsch English Español Polski
Średnia

PocketMine-MP: Network amplification vulnerability with `ActorEventPacket`

  • Ujawniono: 06.04.2026
  • Aktualizacja: 11.10.2026 10:22

Impact

The server handles ActorEventPacket to trigger consuming animations from vanilla clients when they eat food or drink potions.

This can be abused to make the server spam other clients, and to waste server CPU and memory. For every ActorEventPacket sent by the client, an animation event will be sent to every other player the attacker is visible to.

This is similar to various other vulnerabilities which were fixed in the network overhaul of PM4 (e.g. AnimatePacket and LevelSoundEventPacket), but somehow this one slipped through the net.

Patches

The problem was addressed in aeea1150a772a005b92bd418366f1b7cf1a91ab5 by changing the mechanism for consuming animations to be fully controlled by the server. ActorEventPacket from the client is now discarded.

Workarounds

A plugin could use DataPacketDecodeEvent to rate-limit ActorEventPacket to prevent the attack.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer pocketmine/pocketmine-mp < 5.39.2 5.39.2

Odnośniki

Ocena CVSS 4.3/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
Słabość (CWE)
CWE-406
Platforma
Composer
Paczka
pocketmine/pocketmine-mp
Ujawniono
06.04.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-7hmv-4j2j-pp6f - CC BY 4.0

Historia podatności: pocketmine/pocketmine-mp

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (30) w archiwum
Wszystkich wpisów
30
Pierwsza → ostatnia
11.2020 04.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 20
  • Średnia 8
  • Niska 2

Ujawnienia w latach

Istotność:
  1. PocketMine-MP: Network amplification vulnerability with `ActorEventPacket` ten wpis
    Średnia · 4.3 CVE-2026-86202 < 5.39.2 5.39.2
  2. PocketMine-MP: JSON decoding of unlimited size large arrays/objects in ModalFormResponse Handling
    Wysoka CVE-2026-86204 < 5.39.2 5.39.2
  3. PocketMine-MP: LogDoS by large complex unknown property logging in clientData in LoginPacket
    Wysoka · 7.5 CVE-2026-86201 < 5.41.1 5.41.1
  4. PocketMine-MP `ResourcePackDataInfoPacket` amplification vulnerability due to lack of resource pack sequence status checking
    Wysoka CVE-2025-71417 < 5.32.1 5.32.1
  5. PocketMine-MP server crash with certain invalid JSON payloads in `LoginPacket` due to dependency vulnerability (3rd time)
    Wysoka · 7.5 CVE-2024-58381 < 5.11.1 5.11.1
  6. PocketMine-MP BookEditPacket crash when inventory slot in the packet is invalid
    Wysoka · 7.5 CVE-2024-58380 < 5.11.2 5.11.2
  7. PocketMine-MP server crash with certain invalid JSON payloads in `LoginPacket` due to dependency vulnerability (again)
    Wysoka · 7.5 CVE-2023-54390 >= 5.0.0, < 5.3.1, < 4.23.1 5.3.1, 4.23.1
  8. PocketMine-MP server crash due to incorrect EC curve used for LoginPacket identityPublicKey
    Wysoka · 7.5 CVE-2023-54355 >= 5.2.0, < 5.3.1 5.3.1
  9. PocketMine-MP vulnerable to server crash using badly formatted sign NBT in BlockActorDataPacket
    Wysoka · 7.5 CVE-2023-54392 >= 4.20.0, < 4.22.3, >= 5.0.0, < 5.2.1 4.22.3, 5.2.1
  10. PocketMine-MP vulnerable to improperly checked dropped item count leading to server crash
    Wysoka · 7.5 CVE-2023-7332 < 4.18.1 4.18.1
  11. PocketMine-MP vulnerable to server crash with certain invalid JSON payloads in `LoginPacket` due to vulnerable dependency
    Wysoka · 7.5 CVE-2023-54393 < 4.20.5, >= 4.21.0, < 4.21.1 4.20.5, 4.21.1
  12. PocketMine-MP has improperly handled dye colour IDs in banner NBT, leading to server crash
    Wysoka · 7.5 CVE-2023-54396 < 4.8.1 4.8.1
  13. PocketMine-MP invalid skin geometry JSON data leading to server crash
    Wysoka · 7.5 CVE-2022-51009 < 4.7.2 4.7.2
  14. Improperly checked IDs on itemstacks received from the client leading to server crash in PocketMine-MP
    Wysoka · 7.5 CVE-2022-51010 >= 4.0.0-BETA5, < 4.4.2 4.4.2
  15. Insufficient type validation in pocketmine/pocketmine-mp
    Wysoka · 7.5 CVE-2022-51012 < 4.2.9 4.2.9
  16. Improperly checked metadata on tools/armour itemstacks received from the client
    Wysoka · 7.5 CVE-2022-51013 < 4.2.4 4.2.4
  17. NaN/INF in serverbound movement packets can crash clients and servers
    Wysoka · 7.5 CVE-2021-48007 < 3.18.1 3.18.1
  18. Unhandled exception when decoding form response JSON
    Wysoka · 7.5 CVE-2022-51014 >= 4.0.0, < 4.0.7 4.0.7
  19. Unchecked validity of Facing values in PlayerActionPacket
    Wysoka · 7.5 CVE-2022-51015 < 4.0.6 4.0.6
  20. Uncapped length of skin data fields submitted by players
    Wysoka · 7.5 CVE-2022-51017 < 3.26.5, >= 4.0.0, < 4.0.5 3.26.5, 4.0.5
  21. Exploitable inventory component chaining in PocketMine-MP
    Wysoka CVE-2020-37277 < 3.15.4 3.15.4

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.