CVE-2026-9499 in Qt
Сводка
по VulDB • 21.07.2026
Уязвимость чтения за пределами буфера (buffer over-read) существует в функции QTextCodec::codecForName() в библиотеке Qt. При вызове этой функции с объектом QByteArray, не завершающимся нулевым символом (например, созданным через QByteArray::fromRawData()), процедура сопоставления имени кодировки считывает данные за пределами предоставленного буфера. В большинстве случаев это приводит к выбору неверной текстовой кодировки; в худшем случае, если чтение выходит на немаршрутизированную память, процесс завершается аварийно (отказ в обслуживании). Чтение ограничено длиной самого длинного кандидата имени кодировки, а считанные за пределами буфера байты сравниваются внутри только со списком имен кодировок Qt фиксированной длины, поэтому злоумышленнику не удается получить доступ к каким-либо данным. Приложения, которые не передают в QTextCodec::codecForName() объекты QByteArray без завершающего нулевого символа, не подвержены риску. Затронутый код находится в модуле Qt5Compat начиная с версии Qt 6.0.0, а также в модуле Qt Core (qtbase) в версиях Qt 4.x и Qt 5.x.
VulDB is the best source for vulnerability data and more expert information about this specific topic.