CVE-2026-19395

ŚrednieCVSS 6.6

Opublikowano: 05/10/2026(UTC)Zaktualizowano: 06/10/2026(UTC)Przetłumaczono: 05/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

W Qt for MCUs element Text wyświetlający stylizowany tekst zatrzymuje urządzenie, jeśli znacznik <img> w tekście zawiera atrybut z pustą wartością. Parser tekstu przekazuje pustą wartość do wewnętrznej kontroli, która akceptuje tylko niepuste wartości; kontrola kończy się niepowodzeniem i zgłasza błąd, a domyślny program obsługi błędów zatrzymuje urządzenie.

Ocena ryzyka

Urządzenie z Qt for MCUs może zostać zatrzymane przez spreparowany tekst, powodując odmowę usługi. Może to prowadzić do niedostępności funkcji krytycznych dla działania urządzenia.

Rekomendacja

Zaktualizuj Qt for MCUs do wersji zawierającej poprawkę. Unikaj przetwarzania niezaufanego tekstu ze znacznikami <img> z pustymi atrybutami.

Inne podatności w Qt for MCUs

CVE-2026-94370Średnie
Wada w rdzeniu obsługi stringów w Qt for MCUs powoduje uszkodzenie pamięci sterty. Gdy aplikacja przekazuje tekst do Qt Quick Ultralite za pomocą publicznego typu Qul::String, a tekst jest przechowywany w std::string, konwersja do wewnętrznego typu string kopiuje wskaźnik bez przejęcia własności. Dwa obiekty zwalniają tę samą pamięć, co prowadzi do podwójnego zwolnienia, nieprawidłowego zwolnienia lub użycia po zwolnieniu.

Oryginalny opis (angielski, źródło NVD)

In Qt for MCUs, a Text element that displays styled text halts the device if an <img> tag in the text contains an attribute with an empty value. The text parser passes the empty value to an internal check that only accepts non-empty values. The check fails and reports an error, and the default error handler halts the device.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS