CVE-2026-8168
WysokieCVSS 7.1Streszczenie
W module Qt SVG (QtSvg) biblioteki Qt występuje niekontrolowana rekurencja w parserze i rendererze SVG. Złośliwy plik SVG z głęboko zagnieżdżonymi elementami może spowodować wyczerpanie stosu i awarię aplikacji (denial of service).
Ocena ryzyka
Atakujący może zdalnie wywołać awarię aplikacji przetwarzającej SVG, powodując niedostępność usługi. Ryzyko dotyczy systemów przetwarzających niezaufane pliki SVG.
Rekomendacja
Należy zaktualizować bibliotekę Qt do wersji zawierającej poprawkę lub ograniczyć przetwarzanie niezaufanych plików SVG. Zaleca się także wdrożenie limitów głębokości zagnieżdżenia elementów.
Inne podatności w Qt SVG
Zobacz wszystkie- CVE-2026-6210Wysokie
Podatność typu confusion w Qt SVG pozwala atakującemu na spowodowanie awarii aplikacji poprzez spreparowany obraz SVG. Problem występuje podczas przetwarzania odniesień markerów SVG, gdzie renderer nie weryfikuje typu węzła przed rzutowaniem.
- CVE-2025-14576Wysokie
W module SVG biblioteki Qt stwierdzono niewystarczającą walidację identyfikatorów węzłów, co umożliwia wstrzyknięcie dowolnego kodu QML/JavaScript podczas ładowania złośliwych plików SVG przez komponent VectorImage w Qt Quick. Mimo że wykonanie QML jest zazwyczaj bardziej ograniczone niż wykonanie kodu natywnego, podatność ta może prowadzić do odmowy usługi, ujawnienia informacji lub innych skutków w zależności od poziomu uprawnień i dostępu do danych aplikacji.
Oryginalny opis (angielski, źródło NVD)
Uncontrolled recursion in the SVG parser and renderer of the Qt SVG module (QtSvg) in Qt Group Qt allows attackers to cause a denial of service (application crash via stack exhaustion) via a crafted SVG file with deeply nested elements.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS