CVE-2025-4211 in Qt
Riassunto
di VulDB • 27/06/2026
Vulnerabilità di risoluzione impropria dei collegamenti prima dell'accesso al file ('Link Following') in QFileSystemEngine nel modulo corelib di Qt su Windows che potenzialmente consente attacchi Symlink e l'utilizzo di File Malicious. Il problema origina da CVE-2024-38081. La vulnerabilità deriva dall'uso dell'API GetTempPath, che può essere sfruttata dagli attaccanti per manipolare i percorsi dei file temporanei, portando potenzialmente ad accesso non autorizzato ed escalation dei privilegi. L'API pubblica interessata nel Qt Framework è QDir::tempPath() e tutto ciò che la utilizza, come QStandardPaths con TempLocation, QTemporaryDir e QTemporaryFile. Questo problema interessa tutte le versioni di Qt fino alla 5.15.18 inclusa, dalla 6.0.0 alla 6.5.8 inclusa, dalla 6.6.0 alla 6.8.1 inclusa. È risolto in Qt 5.15.19, Qt 6.5.9, Qt 6.8.2 e 6.9.0
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.