CVE-2026-19248: неограниченная рекурсия в деструкторе QDomNode в Qt XML
В Qt XML обнаружена уязвимость CVE-2026-19248 с оценкой 7.1 (HIGH): неограниченная рекурсия в деструкторе QDomNode приводит к отказу в обслуживании при обработке недоверенного XML. Атака может запускаться удалённо — достаточно, чтобы приложение разобрало вредоносный документ.
Подробности
Уязвимость затрагивает продукт Qt (qt). Согласно описанию, QDomDocument XML parsing оказывается уязвим к удалённо триггеруемому отказу в обслуживании при разборе недоверенных данных. Корень проблемы — неограниченная рекурсия в деструкторе QDomNode: при разрушении глубоко вложенной структуры XML-узлов глубина рекурсии не ограничивается, что приводит к исчерпанию стека и краху приложения. Ключевые характеристики: — тип: неограниченная рекурсия, приводящая к отказу в обслуживании (DoS); — вектор: удалённый, через обработку недоверенного XML-ввода; — оценка: CVSS 7.1 (HIGH); — затронутый компонент: Qt XML, QDomDocument / QDomNode. Поскольку речь идёт о крэше процесса, эксплуатация не требует аутентификации или локального доступа — достаточно, чтобы уязвимое приложение приняло и разобрало специально сформированный XML-документ. Это делает проблему актуальной для сервисов, шлюзов и клиентских приложений, которые обрабатывают XML из внешних источников: файлов, сетевых запросов, сообщений.Что делать
1. Обновите Qt до версии, содержащей исправление. Следите за официальными бюллетенями безопасности Qt и рекомендациями вашего дистрибутива или вендора: патч может поставляться как в составе новой версии фреймворка, так и отдельным обновлением. 2. Если обновление невозможно немедленно, примените компенсирующие меры: — ограничьте глубину вложенности разбираемых XML-документов на уровне входной валидации; — не передавайте в QDomDocument недоверенный ввод без предварительной проверки (схема, ограничения размера и структуры); — по возможности изолируйте обработку XML в отдельном процессе с ограничениями по памяти и лимитами, чтобы крэш не затрагивал основное приложение; — рассмотрите замену парсера на потоковый (например, SAX-подход) там, где полное дерево DOM не требуется. 3. Проверьте, какие компоненты вашей инфраструктуры используют Qt XML для обработки внешних данных, и оцените их доступность из недоверенных сетей. Итог: CVE-2026-19248 — высокоопасная уязвимость отказа в обслуживании в Qt XML, эксплуатируемая удалённо через недоверенный XML. Приоритет — установка официального обновления; при отсутствии патча — ограничение глубины и изоляция разбора XML. Организациям, использующим Qt в публично доступных сервисах, рекомендуется отнести исправление к первоочередным задачам.Источник: CVE Project (cvelistV5)