Ferramenta de mods de Minecraft é corrigida após falha crítica permitir que qualquer site execute comandos no jogo

Uma falha séria de segurança no Universal-modder, kit de modding de código aberto usado para conectar Minecraft a outros jogos, finalmente foi corrigida. Registrada como CVE-2026-125358 com pontuação de severidade alta, a vulnerabilidade estava na classe HostLink dos mods de exemplo do tipo passthrough, que não validava a origem das conexões WebSocket.

Na prática, qualquer página aberta no navegador do jogador podia se conectar silenciosamente ao WebSocket local sem autenticação e enviar mensagens cmd, que o WorldBridge.command() executava com autoridade total de operador. Sem download de malware, sem login, sem aviso: bastava um site malicioso e o jogo rodando.

A correção, no commit e88f687, ativa a validação de origem. Atualize para a versão mais recente, reinicie o serviço e fique de olho nas portas locais. É um lembrete de que o ecossistema de mods feito por voluntários anda rápido, e a higiene de segurança precisa acompanhar.