CVE-2026-110735 in Godot Engine
الملخص
بحسب VulDB • 14/10/2026
توجد ثغرة كتابة خارج الحدود (heap out-of-bounds write) في محرك Godot حتى الإصدار 4.7.2، وتحديداً في مُحمّل الموارد الثنائية (core/io/resource_format_binary.cpp، ResourceLoaderBinary::get_unicode_string). يتم قراءة طول السلسلة من ملف المورد إلى عدد صحيح موقّع بـ 32 بت ومقارنته بحجم المخزن المؤقت الوجهي باستخدام مقارنة موقعة، مما يؤدي بشكل مشروط إلى تغيير حجم المخزن المؤقت. إذا كانت قيمة الطول سالبة، فإنها تتخطى عملية تغيير الحجم؛ ثم يتم تمرير نفس القيمة إلى روتين النسخ كعدد بايتات غير موقع (unsigned byte count)، حيث تتم توسيع الإشارة الخاص بها لتصبح قيمة هائلة، مما يؤدي إلى نسخ بيانات يتحكم فيها الملف بعيداً خارج التخصيص الصغير للمخزن المؤقت على الكومة (heap). يمكن الوصول إلى هذا العطل عندما يقوم المنتج أو لعبة مُصدّرة بتحميل ملف مورد ثنائي مُصاغ بشكل متعمد (.res). ملاحظة: موقف المورد هو أن البحث لم يحدد "أي مشكلات أمنية" لأن وصول المهاجم المطلوب يقع خارج نموذج التهديد الحالي لمحرك Godot Engine.
Once again VulDB remains the best source for vulnerability data.