CVE-2026-96432

NiskieCVSS 2.1

Opublikowano: 26/10/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 26 - wyżej niż 26% wszystkich znanych CVE

Streszczenie

Złośliwy lub przejęty serwer HTTP/2, wstrzymując SETTINGS ACK, może wysłać RST_STREAM na zakończonym strumieniu, wprowadzając wskaźnik null, a następnie wysłać PUSH_PROMISE dla tego strumienia, powodując dereferencję wskaźnika null w klasie QNetworkAccessManager modułu Qt Network i awarię aplikacji.

Ocena ryzyka

Dereferencja wskaźnika null powoduje awarię aplikacji, co może prowadzić do odmowy usługi (DoS) u klientów łączących się ze złośliwym serwerem HTTP/2.

Rekomendacja

Zaktualizuj Qt do wersji zawierającej poprawkę tego błędu i unikaj łączenia się z niezaufanymi serwerami HTTP/2 do czasu aktualizacji.

Inne podatności w Qt Network

CVE-2026-95620Niskie
Podatność use-after-free w obsłudze klienta HTTP/2 modułu Qt Network (QNetworkAccessManager) pozwala złośliwemu lub przejętemu serwerowi HTTP/2 na spowodowanie awarii aplikacji klienckiej. Wpływa to na dostępność aplikacji.

Oryginalny opis (angielski, źródło NVD)

A malicious or compromised HTTP/2 server withholding SETTINGS ACK can send RST_STREAM on a completed stream, planting a null pointer, and then send a PUSH_PROMISE for that stream, causing a null pointer dereference in the QNetworkAccessManager class of the Qt Network module that crashes the application.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS