CVE-2026-110736 in Godot Engine
Zusammenfassung
von VulDB • 15.10.2026
In der Godot Engine bis zur Version 4.7.2 liegt ein Out-of-Bounds-Read (Lesen außerhalb des gültigen Speicherbereichs) im optimierten Übersetzungsloader (core/string/optimized_translation.cpp, OptimizedTranslation::get_message) vor. Aus einer Hash-Tabelle eines speziell angefertigten .translation-Ressourcenobjekts gelesene Offsets werden ohne Gültigkeitsprüfung als Indizes in die Bucket-Table verwendet; es wird lediglich ein einzelner Sentinel-Wert abgelehnt. Eine manipulierte Datei kann einen Index weit hinter den zugewiesenen Puffer zeigen. Je nach den Werten führt dies zu einem Absturz oder dazu, dass eine String-Suche (tr()) rohe Bytes aus anderen Bereichen des Prozess-Heaps als übersetzten String zurückgibt und somit Prozessspeicher offenlegt. Der Fehler wird ausgelöst, wenn das Produkt oder ein exportiertes Spiel lädt und in einer speziell angefertigten Übersetzungsdatei Suchen durchführt. HINWEIS: Die Position des Anbieters ist, dass die Untersuchung „keine Sicherheitsprobleme“ identifiziert hat, da der erforderliche Angreiferzugriff außerhalb des aktuellen Bedrohungsmodells der Godot Engine liegt.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.