PT-2021-24433 · Unknown · Pocketmine-Mp

Publicado 2021-12-16 · Atualizado 2021-12-16

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.3

Baixa

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

**Nome do software vulnerável e versões afetadas:

PocketMine-MP (versões afetadas não especificadas)

Descrição:

O problema decorre da forma como as permissões de operador são verificadas por meio da função Config->exists() com lowercase=true. Isso permite que um usuário adicione seu nome ao arquivo ops.txt usando letras maiúsculas, tornando impossível remover suas permissões de operador por meio de comandos.

Recomendações:

Para resolver este problema, remova manualmente as linhas problemáticas do arquivo ops.txt.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Identificadores relacionados

GHSA-J5QG-W9JG-3WG3

Produtos afetados

Pocketmine-Mp

Referências · 6

• 🔥 https://github.com/pmmp/PocketMine-MP · Exploit
• 🔥 https://github.com/pmmp/PocketMine-MP/commit/4d37b79ff7f9d9452e988387f97919a9a1c4954e · Exploit
• 🔥 https://github.com/pmmp/PocketMine-MP/security/advisories/GHSA-j5qg-w9jg-3wg3 · Exploit
• 🔥 https://github.com/pmmp/PocketMine-MP/blob/4.0.3/changelogs/4.0.md#403 · Exploit
• https://github.com/iTXTech/Genisys/issues/1188 · Nota
• https://osv.dev/vulnerability/GHSA-j5qg-w9jg-3wg3 · Aviso do Fabricante