CVE-2023-37369
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 67 - wyżej niż 67% wszystkich znanych CVE
Streszczenie
W wersjach Qt przed 5.15.15, 6.x przed 6.2.9 oraz 6.3.x do 6.5.x przed 6.5.2 może wystąpić awaria aplikacji w QXmlStreamReader spowodowana specjalnie przygotowanym ciągiem XML, który wywołuje sytuację, w której prefiks jest większy od długości.
Ocena ryzyka
Awaria aplikacji może prowadzić do przerwania działania systemu lub utraty danych, co stanowi zagrożenie dla ciągłości działania organizacji.
Rekomendacja
Zaleca się aktualizację Qt do wersji 5.15.15 lub 6.2.9 oraz 6.5.2 lub nowszych, aby zniwelować ryzyko związane z tą podatnością.
Inne podatności w Qt
Zobacz wszystkie- CVE-2026-100140Niskie
W funkcjonalności parsowania XML w Qt (Qt5Compat / QXmlSimpleReader) występuje podatność typu integer overflow. Może ona prowadzić do nieprawidłowego działania parsera przy przetwarzaniu spreparowanych danych XML.
- CVE-2026-107590Niskie
Podatność typu out-of-bounds write w module Qt 5 Compatibility APIs (Qt Core w Qt 5 i wcześniejszych) dotyczy kodowania tekstu za pomocą QTextCodec opartego na iconv. W określonych warunkach kodowanie tekstu może zapisać dane poza wewnętrznym buforem, co może spowodować awarię aplikacji i wpłynąć na integralność danych.
- CVE-2025-6338Krytyczne
W Qt Network dla Windows (Schannel) występuje niekompletne czyszczenie zasobów, co z czasem może prowadzić do odmowy usługi (DoS). Problem dotyczy Qt od wersji 5.15.0 do 6.8.3 oraz od 6.9.0 przed 6.9.2.
- CVE-2023-51714Krytyczne
W implementacji HTTP2 w Qt przed wersjami 5.15.17, 6.2.11, 6.5.4 i 6.6.2 występuje nieprawidłowe sprawdzenie przepełnienia liczby całkowitej w HPack w pliku hpacktable.cpp.
- CVE-2026-105924Średnie
Podatność dereferencji wskaźnika NULL w konwersji QCborValue do JSON w module Qt Core biblioteki Qt. Może prowadzić do awarii aplikacji podczas przetwarzania danych CBOR.
- CVE-2026-107472Średnie
Podatność typu out-of-bounds read w kodowaniu TSCII klasy QTextCodec w module Qt 5 Compatibility APIs (Qt Core w Qt 5 i wcześniejszych) dotyczy biblioteki Qt. Aplikacje konwertujące tekst do kodowania TSCII przez QTextCodec mogą odczytywać pamięć poza buforem wejściowym, co może spowodować awarię aplikacji lub błędną interpretację danych.
- CVE-2026-107157Niskie
Specjalnie spreparowane dane wejściowe CBOR przekazane do QCborValue::fromCbor() w Qt Core mogą spowodować odczyt poza granicami bufora, co może doprowadzić do awarii aplikacji i potencjalnie ujawnić informacje.
- CVE-2026-101201Średnie
Zniekształcony nagłówek w pliku binarnym przekazanym do funkcji QBinaryJson::fromBinaryData() może spowodować niezdefiniowane zachowanie z powodu odczytu poza granicami bufora.
- CVE-2026-78253Niskie
Nieograniczona rekurencja w QXmlStreamReader::readElementText() w Qt Group Qt umożliwia atakującym spowodowanie odmowy usługi (awaria aplikacji przez wyczerpanie stosu) za pomocą spreparowanego dokumentu XML.
- CVE-2026-19248Wysokie
Parsowanie XML w QDomDocument jest podatne na zdalnie wyzwalany atak typu odmowa usługi (crash) podczas przetwarzania niezaufanych danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
In Qt before 5.15.15, 6.x before 6.2.9, and 6.3.x through 6.5.x before 6.5.2, there can be an application crash in QXmlStreamReader via a crafted XML string that triggers a situation in which a prefix is greater than a length.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS