Не открывайте публичный issue. Сообщите приватно через GitHub Security Advisories.
Опишите:
- что за уязвимость и как её воспроизвести (пакеты, команды, плагин);
- какая сборка Chunkwake (коммит или артефакт CI);
- что может сделать атакующий: уронить сервер, выйти за права, прочитать файлы, испортить мир.
Мы ответим, как только разберёмся, и согласуем с вами раскрытие после исправления.
- Сетевая часть: разбор пакетов, сжатие, шифрование, вход, лимиты на клиента.
- Команды и права операторов.
- Мост плагинов и встроенная JVM — в части, которую контролирует Chunkwake.
- Хранилище мира и резервные копии.
Поддерживается только последняя сборка ветки текущей версии (ver/26.3).
- Плагины сторонних авторов: им — к их авторам.
- Поведение, совпадающее с ванильным сервером 26.3 (например, известные ванильные эксплойты): Chunkwake повторяет ваниль намеренно. Если считаете, что это стоит исправлять, откройте обычный issue.
English: please report vulnerabilities privately via GitHub Security Advisories, not as public issues.