Anmelden
Deutsch English Español Polski
Mittel

PocketMine-MP: Network amplification vulnerability with `ActorEventPacket`

  • Veröffentlicht: 06.04.2026
  • Aktualisiert: 11.10.2026 10:22

Impact

The server handles ActorEventPacket to trigger consuming animations from vanilla clients when they eat food or drink potions.

This can be abused to make the server spam other clients, and to waste server CPU and memory. For every ActorEventPacket sent by the client, an animation event will be sent to every other player the attacker is visible to.

This is similar to various other vulnerabilities which were fixed in the network overhaul of PM4 (e.g. AnimatePacket and LevelSoundEventPacket), but somehow this one slipped through the net.

Patches

The problem was addressed in aeea1150a772a005b92bd418366f1b7cf1a91ab5 by changing the mechanism for consuming animations to be fully controlled by the server. ActorEventPacket from the client is now discarded.

Workarounds

A plugin could use DataPacketDecodeEvent to rate-limit ActorEventPacket to prevent the attack.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Composer-Paket pocketmine/pocketmine-mp < 5.39.2 5.39.2

Verweise

CVSS-Wert 4.3/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
Schwäche (CWE)
CWE-406
Plattform
Composer
Paket
pocketmine/pocketmine-mp
Veröffentlicht
06.04.2026
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-7hmv-4j2j-pp6f - CC BY 4.0

Schwachstellenhistorie: pocketmine/pocketmine-mp

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (30) im Archiv
Einträge insgesamt
30
Erste → letzte
11.2020 04.2026
Ohne Fix
0
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Hoch 20
  • Mittel 8
  • Niedrig 2

Veröffentlichungen pro Jahr

Schweregrad:
  1. PocketMine-MP: Network amplification vulnerability with `ActorEventPacket` dieser Eintrag
    Mittel · 4.3 CVE-2026-86202 < 5.39.2 5.39.2
  2. PocketMine-MP: JSON decoding of unlimited size large arrays/objects in ModalFormResponse Handling
    Hoch CVE-2026-86204 < 5.39.2 5.39.2
  3. PocketMine-MP: LogDoS by large complex unknown property logging in clientData in LoginPacket
    Hoch · 7.5 CVE-2026-86201 < 5.41.1 5.41.1
  4. PocketMine-MP `ResourcePackDataInfoPacket` amplification vulnerability due to lack of resource pack sequence status checking
    Hoch CVE-2025-71417 < 5.32.1 5.32.1
  5. PocketMine-MP server crash with certain invalid JSON payloads in `LoginPacket` due to dependency vulnerability (3rd time)
    Hoch · 7.5 CVE-2024-58381 < 5.11.1 5.11.1
  6. PocketMine-MP BookEditPacket crash when inventory slot in the packet is invalid
    Hoch · 7.5 CVE-2024-58380 < 5.11.2 5.11.2
  7. PocketMine-MP server crash with certain invalid JSON payloads in `LoginPacket` due to dependency vulnerability (again)
    Hoch · 7.5 CVE-2023-54390 >= 5.0.0, < 5.3.1, < 4.23.1 5.3.1, 4.23.1
  8. PocketMine-MP server crash due to incorrect EC curve used for LoginPacket identityPublicKey
    Hoch · 7.5 CVE-2023-54355 >= 5.2.0, < 5.3.1 5.3.1
  9. PocketMine-MP vulnerable to server crash using badly formatted sign NBT in BlockActorDataPacket
    Hoch · 7.5 CVE-2023-54392 >= 4.20.0, < 4.22.3, >= 5.0.0, < 5.2.1 4.22.3, 5.2.1
  10. PocketMine-MP vulnerable to improperly checked dropped item count leading to server crash
    Hoch · 7.5 CVE-2023-7332 < 4.18.1 4.18.1
  11. PocketMine-MP vulnerable to server crash with certain invalid JSON payloads in `LoginPacket` due to vulnerable dependency
    Hoch · 7.5 CVE-2023-54393 < 4.20.5, >= 4.21.0, < 4.21.1 4.20.5, 4.21.1
  12. PocketMine-MP has improperly handled dye colour IDs in banner NBT, leading to server crash
    Hoch · 7.5 CVE-2023-54396 < 4.8.1 4.8.1
  13. PocketMine-MP invalid skin geometry JSON data leading to server crash
    Hoch · 7.5 CVE-2022-51009 < 4.7.2 4.7.2
  14. Improperly checked IDs on itemstacks received from the client leading to server crash in PocketMine-MP
    Hoch · 7.5 CVE-2022-51010 >= 4.0.0-BETA5, < 4.4.2 4.4.2
  15. Insufficient type validation in pocketmine/pocketmine-mp
    Hoch · 7.5 CVE-2022-51012 < 4.2.9 4.2.9
  16. Improperly checked metadata on tools/armour itemstacks received from the client
    Hoch · 7.5 CVE-2022-51013 < 4.2.4 4.2.4
  17. NaN/INF in serverbound movement packets can crash clients and servers
    Hoch · 7.5 CVE-2021-48007 < 3.18.1 3.18.1
  18. Unhandled exception when decoding form response JSON
    Hoch · 7.5 CVE-2022-51014 >= 4.0.0, < 4.0.7 4.0.7
  19. Unchecked validity of Facing values in PlayerActionPacket
    Hoch · 7.5 CVE-2022-51015 < 4.0.6 4.0.6
  20. Uncapped length of skin data fields submitted by players
    Hoch · 7.5 CVE-2022-51017 < 3.26.5, >= 4.0.0, < 4.0.5 3.26.5, 4.0.5
  21. Exploitable inventory component chaining in PocketMine-MP
    Hoch CVE-2020-37277 < 3.15.4 3.15.4

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.