Cyber ·
GodotSteam 4.17 a 4.23.2: participante pode assumir o ID de peer do servidor
Aviso publicado em 4 de novembro de 2026 no feed oss-sec descreve falha no GodotSteam: o ID de peer enviado pelo jogador não é comparado com a conta verificada pela Steam, permitindo que um participante se passe pelo servidor.
O aviso informa que o GodotSteam, nas versões 4.17 a 4.23.2 segundo o texto, aceita o ID de peer que o remetente escreve no primeiro pacote e nunca o compara com a conta verificada pela Steam. No Godot, os jogadores são identificados por um ID de peer, e o ID 1 representa o servidor. Assim, um jogador que escreva 1 é tratado como servidor e pode emitir os comandos que um servidor emite. A Steam verifica a conta por trás de cada conexão, mas essa verificação não é usada para validar o ID de peer no GodotSteam. O texto disponível é uma tradução automática de um aviso publicado no feed oss-sec em 4 de novembro de 2026. O aviso não traz, no trecho lido, número de correção nem identificador de vulnerabilidade, então não é possível confirmar a versão corrigida a partir dele. Para verificar, consulte o aviso original pela referência indicada no próprio texto da fonte e as notas de versão do projeto GodotSteam. A relevância para equipes que usam jogos ou sessões multiplayer é direta: qualquer projeto que dependa dessas versões precisa checar a versão instalada e aplicar a correção que os mantenedores publicarem. A Rota Nacional não hospeda sessões de jogo nem corrige bibliotecas de terceiros, e este aviso não muda o funcionamento da API.