CVE-2026-15037
NiskieCVSS 2.9Streszczenie
W bibliotece Qt XML w wersjach od 4.0.0 do 6.11 wykryto podatność na wstrzykiwanie XML (XML injection) w serializacji komentarzy QDom, CDATA i instrukcji przetwarzania. Nieuwiarygodniony tekst serializowany przez aplikację do tych węzłów może wstrzyknąć dowolne znaczniki XML, ponieważ terminatorzy węzłów nie są escapowane przy domyślnej polityce InvalidDataPolicy (AcceptInvalidChars). Problem został naprawiony w Qt 6.12.
Ocena ryzyka
Ryzyko polega na możliwości wstrzyknięcia złośliwego kodu XML przez atakującego, co może prowadzić do naruszenia integralności danych lub ataków typu XML External Entity (XXE).
Rekomendacja
Zaleca się aktualizację biblioteki Qt do wersji 6.12 lub nowszej oraz zmianę domyślnej polityki InvalidDataPolicy na bardziej restrykcyjną, jeśli to możliwe.
Oryginalny opis (angielski, źródło NVD)
Improper output neutralization (XML injection) in QDom comment, CDATA, and processing-instruction serialization in Qt XML from 4.0.0 through 6.11 allows untrusted text serialized by an application into those nodes to inject arbitrary XML markup, because the node terminators are not escaped under the default InvalidDataPolicy (AcceptInvalidChars). Fixed in Qt 6.12.