Mod PixelReel do Minecrafta, który pozwala oglądać filmy, seriale i kanały telewizyjne na ekranach ustawionych w świecie gry, ujawnia innym osobom na tym samym serwerze adresy i klucze API do prywatnych serwerów multimediów Plex, Jellyfin i Emby. Lukę wskazano we wpisie na Reddicie, a w środę, 19 sierpnia 2026 roku, opisał ją serwis Neowin.

Czym jest PixelReel

PixelReel to mod na Fabric do Minecraft Java Edition. Kanały na żywo pobiera z Tunarr albo z dowolnej playlisty M3U z programem w formacie XMLTV, a filmy i seriale z bibliotek Jellyfin, Emby lub Plex. Każdy ekran może pokazywać coś innego, kilka ekranów działa naraz, a dźwięk dochodzi z miejsca, w którym stoi ekran. Według Neowinu mod jest dostępny od około tygodnia i zdążył już zwrócić na siebie uwagę.

Opis projektu na GitHubie z 11 sierpnia wymienia pięć rodzajów ekranów, od kompaktowego telewizora o wymiarach 3 × 2 bloki po zakrzywiony ekran kinowy 16 × 7, a do tego okulary Pixel Glasses, które przenoszą obraz z pobliskiego ekranu na cały widok. Wszystkie ekrany można wytworzyć, a do sterowania służy zestaw komend /tv. Jako docelową wersję gry opis podaje 26.3 Snapshot 5, a do działania potrzebne są Java 25 lub nowsza, Fabric Loader co najmniej 0.19.3 i Fabric API zgodne z 26.3. Obraz i dźwięk dekoduje 64-bitowy odtwarzacz VLC, który musi być zainstalowany na komputerze każdej osoby, która ma widzieć wideo. W grze wieloosobowej mod musi działać zarówno na serwerze, jak i u wszystkich połączonych osób. Adresy serwerów multimediów i klucze wpisuje się w ekranach ustawień w grze albo w pliku config/pixelreel.json.

Na czym polega luka

Według Neowinu problem dotyczy pliku pixelreel-1.0.0.jar oraz wersji pod snapshoty 26.3 udostępnionych na CurseForge. Ponieważ wideo odtwarza się lokalnie w VLC, dane potrzebne do połączenia z serwerem multimediów trafiają do gry, skąd można je wyciągnąć. W efekcie adres serwera i klucz API widzi każda osoba na tym samym serwerze wieloosobowym.

Nasz serwerSerwer minecraft.plNOWA EDYCJA JUŻ JESTNowa edycja serwera minecraft.pl wystartowała. Wejdź na serwer i dołącz do gry.minecraft.plGraj teraz

Opis projektu zapewniał przy tym, że klucze i tokeny zostają po stronie serwera, a do klientów trafiają tylko jawne ustawienia. Zgłoszenie z Reddita pokazuje, że w praktyce tak nie jest. Osoba, która przechwyci taki klucz, może przeglądać, pobierać, a nawet usuwać zawartość cudzej biblioteki multimediów.

Projekt bez przeglądu bezpieczeństwa

Dodatkową krytykę wywołało to, że kod moda powstał metodą vibe codingu, czyli w dużej mierze z pomocą narzędzi AI, i nie przeszedł przeglądu bezpieczeństwa. Według Neowinu przyznaje to sama osoba prowadząca projekt. Serwis zauważa, że to hobbystyczny projekt, na którym nikt nie zarabia, więc taki skrót da się zrozumieć, ale błąd trzeba usunąć, zanim mod trafi do kolejnych osób.

Jak się zabezpieczyć

Neowin radzi, by do czasu poprawki wstrzymać się z instalacją moda. Tam, gdzie PixelReel już działa, serwis zaleca:

  • Natychmiastowe usunięcie moda z serwerów wieloosobowych.
  • Wymianę wszystkich kluczy API, które mogły wyciec.
  • Podanie w modzie klucza z osobnego konta tylko do odczytu zamiast klucza głównego konta.

Podobną radę zawiera opis projektu z 11 sierpnia: zamiast konta administratora lepiej założyć w Jellyfin, Emby lub Plex osobne konto z dostępem tylko do filmów i seriali i używać w modzie jego klucza. Gdy Neowin publikował swój tekst, poprawki jeszcze nie było.

Zagrożone są osoby, które podłączają do PixelReel własny serwer Plex, Jellyfin lub Emby i korzystają z moda na serwerze razem z innymi. Więcej o modyfikacjach do Minecrafta jest w dziale mody.

Źródła