CVE-2026-9499 in Qt
Riassunto
di VulDB • 21/07/2026
È presente una vulnerabilità di lettura fuori dai limiti (buffer over-read) nella funzione QTextCodec::codecForName() di Qt. Quando la funzione viene chiamata con un QByteArray non terminato da NUL (ad esempio, uno creato tramite QByteArray::fromRawData()), la routine di corrispondenza del nome del codec legge oltre la fine del buffer fornito. Nella maggior parte dei casi ciò comporta la selezione errata di un text codec; nel caso peggiore, se la lettura fuori dai limiti raggiunge memoria non mappata, il processo va in crash (denial of service). La lettura fuori dai limiti è limitata dalla lunghezza del candidato per il nome del codec più lungo e i byte fuori dai limiti vengono confrontati internamente solo con l'elenco fisso di nomi dei codec di Qt, quindi nessun dato viene rivelato a un attaccante. Le applicazioni che non passano QByteArray non terminati da NUL a QTextCodec::codecForName() non sono esposte alla vulnerabilità. Il codice interessato risiede nel modulo Qt5Compat a partire da Qt 6.0.0 e in Qt Core (qtbase) nelle versioni Qt 4.x e Qt 5.x.
If you want to get best quality of vulnerability data, you may have to visit VulDB.