CVE-2025-14576

WysokieCVSS 7.8

Opublikowano: 30/04/2026(UTC)Zaktualizowano: 29/07/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

W module SVG biblioteki Qt stwierdzono niewystarczającą walidację identyfikatorów węzłów, co umożliwia wstrzyknięcie dowolnego kodu QML/JavaScript podczas ładowania złośliwych plików SVG przez komponent VectorImage w Qt Quick. Mimo że wykonanie QML jest zazwyczaj bardziej ograniczone niż wykonanie kodu natywnego, podatność ta może prowadzić do odmowy usługi, ujawnienia informacji lub innych skutków w zależności od poziomu uprawnień i dostępu do danych aplikacji.

Ocena ryzyka

Organizacja narażona jest na ataki polegające na wstrzyknięciu kodu QML/JavaScript poprzez złośliwe pliki SVG, co może skutkować przerwaniem działania aplikacji, wyciekiem wrażliwych danych lub innymi naruszeniami bezpieczeństwa, szczególnie jeśli aplikacja działa z podwyższonymi uprawnieniami.

Rekomendacja

Należy niezwłocznie zaktualizować bibliotekę Qt do wersji zawierającej poprawkę usuwającą tę podatność oraz unikać ładowania plików SVG z niezaufanych źródeł do czasu zastosowania aktualizacji.

Inne podatności w Qt SVG

CVE-2026-6210Wysokie
Podatność typu confusion w Qt SVG pozwala atakującemu na spowodowanie awarii aplikacji poprzez spreparowany obraz SVG. Problem występuje podczas przetwarzania odniesień markerów SVG, gdzie renderer nie weryfikuje typu węzła przed rzutowaniem.

Oryginalny opis (angielski, źródło NVD)

Insufficient validation of node IDs in Qt SVG module allows arbitrary QML/JavaScript code injection when loading malicious SVG files through the VectorImage component in Qt Quick. While QML execution is typically more restricted than native code execution, this could still lead to denial of service, information disclosure, or other impacts depending on the application's privilege level and data access.