CVE-2026-110736 in Godot Engine
요약
\~에 의해 VulDB • 2026. 10. 14.
Godot Engine 4.7.2 이전 버전에는 최적화된 번역 로더(core/string/optimized_translation.cpp, OptimizedTranslation::get_message)에서 버퍼 바깥 읽기(out-of-bounds read) 취약점이 존재합니다. 조작된 .translation 리소스의 해시 테이블에서 읽어온 오프셋이 경계 검증 없이 범용 테이블(bucket table)의 인덱스로 사용되며, 단일 sentinel 값만 거부됩니다. 조작된 파일은 할당된 버퍼를 훨씬 넘어가는 인덱스를 가리킬 수 있습니다. 해당 값에 따라 프로그램 충돌이나 문자열 조회(tr())가 프로세스 힙의 다른 영역에서 원시 바이트(raw bytes)를 번역된 문자열로 반환하여 프로세스 메모리를 노출시킬 수 있습니다. 이 결함은 제품 또는 내보낸 게임이 조작된 번역 파일을 로드하고 조회할 때 발생합니다. 참고: 공급업체는 공격자가 필요한 접근 권한이 현재 Godot Engine의 위협 모델(threat model) 범위를 벗어났다고 판단하여 "보안상 문제가 없음"이라는 입장을 취했습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.