CVE-2026-15037 in XML

Résumé

par VulDB • 23/07/2026

Une mauvaise neutralisation des sorties (injection XML) dans la sérialisation des commentaires QDom, CDATA et instructions de traitement dans Qt XML depuis les versions 4.0.0 jusqu'à 6.11 permet à du texte non fiable sérialisé par une application dans ces nœuds d'injecter un balisage XML arbitraire, car les terminaisons de nœud ne sont pas échappées sous le InvalidDataPolicy par défaut (AcceptInvalidChars). Corrigé dans Qt 6.12.

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• Responsable: TQtC
• Réserver: 08/07/2026
• Divulgation: 23/07/2026
• Modérer: accepté
• Entrée: VDB-382573
• CPE: prêt
• CWE: CWE-91 (confirmé)
• CVSS: 6.3 (VulDB)
• EPSS: 0.00262
• KEV: non
• Activités: très faible

Sources

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-15037
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-15037
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-15037/