CVE-2021-38593
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 87 - wyżej niż 87% wszystkich znanych CVE
Streszczenie
Qt w wersjach 5.x przed 5.15.6 oraz 6.x do 6.1.2 zawiera błąd zapisu poza granicami bufora w funkcji QOutlineMapper::convertPath, wywoływanej z QRasterPaintEngine::fill i QPaintEngineEx::stroke.
Ocena ryzyka
Przetwarzanie specjalnie spreparowanych danych graficznych może prowadzić do uszkodzenia pamięci, awarii aplikacji lub potencjalnego wykonania kodu.
Rekomendacja
Zaktualizuj Qt do wersji 5.15.6 lub 6.1.3 (lub nowszej) i unikaj przetwarzania niezaufanych plików graficznych do czasu aktualizacji.
Inne podatności w Qt
Zobacz wszystkie- CVE-2026-100140Niskie
W funkcjonalności parsowania XML w Qt (Qt5Compat / QXmlSimpleReader) występuje podatność typu integer overflow. Może ona prowadzić do nieprawidłowego działania parsera przy przetwarzaniu spreparowanych danych XML.
- CVE-2026-107590Niskie
Podatność typu out-of-bounds write w module Qt 5 Compatibility APIs (Qt Core w Qt 5 i wcześniejszych) dotyczy kodowania tekstu za pomocą QTextCodec opartego na iconv. W określonych warunkach kodowanie tekstu może zapisać dane poza wewnętrznym buforem, co może spowodować awarię aplikacji i wpłynąć na integralność danych.
- CVE-2025-6338Krytyczne
W Qt Network dla Windows (Schannel) występuje niekompletne czyszczenie zasobów, co z czasem może prowadzić do odmowy usługi (DoS). Problem dotyczy Qt od wersji 5.15.0 do 6.8.3 oraz od 6.9.0 przed 6.9.2.
- CVE-2023-51714Krytyczne
W implementacji HTTP2 w Qt przed wersjami 5.15.17, 6.2.11, 6.5.4 i 6.6.2 występuje nieprawidłowe sprawdzenie przepełnienia liczby całkowitej w HPack w pliku hpacktable.cpp.
- CVE-2026-105924Średnie
Podatność dereferencji wskaźnika NULL w konwersji QCborValue do JSON w module Qt Core biblioteki Qt. Może prowadzić do awarii aplikacji podczas przetwarzania danych CBOR.
- CVE-2026-107472Średnie
Podatność typu out-of-bounds read w kodowaniu TSCII klasy QTextCodec w module Qt 5 Compatibility APIs (Qt Core w Qt 5 i wcześniejszych) dotyczy biblioteki Qt. Aplikacje konwertujące tekst do kodowania TSCII przez QTextCodec mogą odczytywać pamięć poza buforem wejściowym, co może spowodować awarię aplikacji lub błędną interpretację danych.
- CVE-2026-107157Niskie
Specjalnie spreparowane dane wejściowe CBOR przekazane do QCborValue::fromCbor() w Qt Core mogą spowodować odczyt poza granicami bufora, co może doprowadzić do awarii aplikacji i potencjalnie ujawnić informacje.
- CVE-2026-101201Średnie
Zniekształcony nagłówek w pliku binarnym przekazanym do funkcji QBinaryJson::fromBinaryData() może spowodować niezdefiniowane zachowanie z powodu odczytu poza granicami bufora.
- CVE-2026-78253Niskie
Nieograniczona rekurencja w QXmlStreamReader::readElementText() w Qt Group Qt umożliwia atakującym spowodowanie odmowy usługi (awaria aplikacji przez wyczerpanie stosu) za pomocą spreparowanego dokumentu XML.
- CVE-2026-19248Wysokie
Parsowanie XML w QDomDocument jest podatne na zdalnie wyzwalany atak typu odmowa usługi (crash) podczas przetwarzania niezaufanych danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
Qt 5.x before 5.15.6 and 6.x through 6.1.2 has an out-of-bounds write in QOutlineMapper::convertPath (called from QRasterPaintEngine::fill and QPaintEngineEx::stroke).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS