Уязвимость отказа в обслуживании в парсере QXmlStreamReader библиотеки Qt Core (CVE-2026-16762)

В библиотеке Qt Core выявлена уязвимость отказа в обслуживании, получившая идентификатор CVE-2026-16762. Проблема связана с парсером QXmlStreamReader и позволяет атакующему вывести приложение из строя, передав ему специально подготовленный XML-документ.

Подробности

Уязвимость затрагивает продукт Qt (компонент Qt Core, парсер QXmlStreamReader). При разборе crafted XML-документа возникает непропорционально высокое потребление CPU, в результате чего приложение становится невосприимчивым к запросам — классический сценарий denial of service.

Для эксплуатации достаточно, чтобы приложение разбирало XML-данные, находящиеся под влиянием атакующего. Не требуется ни аутентификация, ни наличие привилегий, ни какое-либо взаимодействие с пользователем помимо самого факта обработки входных данных. При этом уязвимость не приводит к нарушению конфиденциальности или целостности: раскрытия данных, их изменения или выполнения кода не происходит, а воздействие ограничивается рамками затронутого процесса.

Уровень опасности по шкале CVSS составляет 8.7 (HIGH). Столь высокая оценка обусловлена простотой эксплуатации и отсутствием предварительных условий: уязвимыми оказываются любые сервисы и приложения на Qt, принимающие XML из недоверенных источников, — например, API-шлюзы, интеграционные шины, средства импорта и обмена данными.

Что делать

Рекомендуется отслеживать выпуск обновлённых версий Qt Core у производителя и оперативно устанавливать исправления в затронутых продуктах. До момента обновления следует применять компенсирующие меры:

• ограничить приём XML-документов из недоверенных источников и валидировать входящие данные до передачи в QXmlStreamReader;
• установить лимиты на размер обрабатываемых XML-документов и таймауты на операции разбора;
• вынести разбор XML в изолированные процессы или контейнеры с ограничениями по CPU, чтобы локализовать последствия эксплуатации;
• настроить мониторинг аномального потребления CPU процессами, выполняющими разбор XML.

Отдельно стоит проверить сценарии, где XML поступает от внешних контрагентов или пользователей: именно они представляют наибольший риск.

Итог: CVE-2026-16762 — серьёзная уязвимость отказа в обслуживании в Qt Core, эксплуатация которой не требует особых условий, но и не выходит за рамки доступности отдельного процесса. Ключевые шаги для организаций — своевременное обновление Qt и ограничение обработки недоверенного XML.

Источник: CVE Project (cvelistV5)