VeryMcProto

VeryMcProto 1.21.11-b2（C2S 接收链安全修复）

以纯 Paper 插件形式移植 Fabric 端协议 Mod（Servux / JEI / Syncmatica），面向 Minecraft 1.21.11 / Paper 1.21.11（Java 21）。本线为冻结维护线（ver/1.21.11 / ver/1.21.11-dev）。

⚠️ 安全修复（必更）

修复与上游 Servux 安全公告（2026-07-05 披露）同源的路径穿越任意文件写入漏洞（Critical Arbitrary File Write → RCE 向量）：

• 漏洞：实验性 C2S schematic 文件接收链中，服务端直接用客户端网络包的 FileName 字段构造落盘路径（Path.of / dir.resolve，零净化）——恶意客户端可用 ../ 或绝对路径逃逸 plugins/VeryMcProto/schematics 目录，在服务器任意位置写入 / 删除 / 读回解析文件；另有 new Slice[客户端控长] 的 OOM 向量。该线收包入口无注册名册门，任何在线玩家可直接触发。
• 修复（对齐上游 servux 0.9.5 判定：实验性接收功能超出核心范围，整体禁用移除）：
  • Litematic-Transmit* 服务端接收分流、receiveFileTransmit、SchematicBufferManager、handleClientPasteRequestPair 整链物理删除；上传重组完成后无条件走 handleClientPasteRequest（上游 0.9.5 :139-153 字面同构），任何玩家的 Transmit 帧均落入 paste 路径静默忽略
  • SchematicBuffer 保留仅作 BUFFER_SIZE（16KiB）S2C 分片常量载体
  • /servux litematic transmit 命令加目录包含性守卫（Path.startsWith(Path) 逐名元素比较，逃逸拒绝）——附带收口（该入口文件名为 op 命令参数，非网络输入）
• 不受影响：投影粘贴主路（LitematicaPaste，内存 NBT + 权限/创造模式双门）、实体/方块实体查询、S2C 投递命令、Syncmatica、JEI 均不变。

验证

• ./gradlew build 全绿（含 reobf 与版本注入）；产物开箱终验：jar 内 plugin.yml / version.properties = 1.21.11-b2，SchematicBufferManager 类零残留
• test 19/19 全绿（新增 LitematicaTransmitCommandGuardTest 6/6：../ 逃逸 / 绝对路径 / 兄弟目录前缀 / 合法名 / 内部归一 / 空名）

产物

• VeryMcProto-1.21.11-b2-reobf.jar —— 标准 Paper 1.21.11 服务器用此件（放入 plugins/ 直接加载）
• VeryMcProto-1.21.11-b2.jar —— Mojang 映射版（开发用）

同日发布的 26.1 线同源修复：v26.1.2-b5；上一版本：v1.21.11-b1。