Cyber ·
CVE-2026-123017: GodotSteam 4.17 a 4.23.2 permite que peer multiplayer reivindique o ID do peer do servidor
Aviso público sobre a CVE-2026-123017 no GodotSteam, versões 4.17 a 4.23.2: qualquer peer multiplayer pode reivindicar o ID do peer do servidor. Pontuação publicada de 6,5; o relato pede elevar a integridade para 8,2.
Segundo o texto recebido do feed oss-sec, a CVE-2026-123017 foi atribuída e publicada em 5 de novembro de 2026. O problema afeta o GodotSteam nas versões 4.17 até 4.23.2 e descreve que qualquer peer multiplayer pode reivindicar o ID do peer do servidor.
O registro publicado atribui pontuação 6,5, com impacto baixo à integridade. O autor do relato pediu à equipe CNA-LR da MITRE que elevasse o impacto à integridade para alto, o que resultaria em 8,2, porque o host padrão recusou um comando forjado com o próprio ID de peer do atacante e o executou quando o handshake indicou o valor 1. O texto se apresenta como correção à publicação original. A fonte menciona dois caminhos de código-fonte, mas o trecho recebido está truncado e não lista a versão corrigida.
Relevância: trata-se de falha em software de terceiros para jogos multiplayer. A Rota Nacional não corrige bibliotecas externas e este caso não representa um recurso da plataforma. Quem usa GodotSteam deve verificar a versão em uso, consultar o registro oficial da CVE e o aviso do projeto e aplicar a atualização indicada pelo fornecedor.