CVE-2026-47695

WysokieCVSS 7.1

Opublikowano: 21/07/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 24/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 27 - wyżej niż 27% wszystkich znanych CVE

Streszczenie

Podatność w modyfikacji CC: Tweaked do gry Minecraft, która dodaje programowalne komputery i żółwie. Przed wersją 1.119.0, API HTTP (`http.request`, `http.websocket`) blokuje żądania do prywatnych zakresów sieciowych, aby zapobiec SSRF. Ochrona ta może zostać ominięta na serwerach obsługujących IPv6 przy użyciu adresów prefiksu NAT64 (`64:ff9b::/96`). Atakujący, który może wykonać kod Lua, może dotrzeć do dowolnej wewnętrznej usługi IPv4, adresując ją jako `http://[64:ff9b::<ipv4-as-hex>]/`. Dotyczy to wdrożeń CC-Tweaked w sieciach z routingiem NAT64, co jest standardem na AWS, GCP i innych platformach chmurowych przy użyciu podsieci tylko IPv6. Wersja 1.119.0 naprawia problem.

Ocena ryzyka

Ryzyko polega na możliwości ominięcia ochrony SSRF i uzyskania dostępu do wewnętrznych usług IPv4 przez atakującego wykonującego kod Lua, co może prowadzić do wycieku danych lub dalszych ataków.

Rekomendacja

Zaleca się natychmiastową aktualizację modyfikacji CC: Tweaked do wersji 1.119.0 lub nowszej.

Inne podatności w CC: Tweaked

CVE-2026-55758Średnie
CC: Tweaked to mod do Minecrafta dodający programowalne komputery, żółwie i inne elementy. Przed wersją 1.120.0 ochrona SSRF w AddressPredicate.java blokuje prefiks NAT64 RFC 6052 64:ff9b::/96, ale pomija prefiks lokalnego użytku RFC 8215 64:ff9b:1::/48. Na serwerze dwustosowym używającym NAT64 RFC 8215 nieuwierzytelniony użytkownik, który może wykonywać kod Lua, może użyć http.request lub http.websocket z adresem w zakresie 64:ff9b:1::/48, aby dotrzeć do loopback, RFC 1918, metadanych chmury lub wewnętrznych punktów API.

Oryginalny opis (angielski, źródło NVD)

CC: Tweaked is a mod for Minecraft which adds programmable computers, turtles, and more to the game. Prior to version 1.119.0, CC-Tweaked's HTTP API (`http.request`, `http.websocket`) blocks requests to private network ranges to prevent server-side request forgery (SSRF). This protection can be bypassed on IPv6-capable servers using NAT64 well-known prefix addresses (`64:ff9b::/96`). An attacker who can execute Lua code can reach any internal IPv4 service that the filter is intended to block, by addressing it as `http://[64:ff9b::<ipv4-as-hex>]/` instead of its direct IPv4 address. This affects any CC-Tweaked deployment on a network with NAT64 routing — a configuration that is standard on AWS, GCP, and other cloud platforms when using IPv6-only subnets. Version 1.119.0 fixes the issue.