Qt Framework(QtXml モジュール)の QDom におけるコメント、CDATA セクション、処理命令のシリアライズに、XML インジェクション(出力の不適切な無害化)の脆弱性が発見され、CVE-2026-15037 として採番されました。
影響を受けるバージョン: Qt 4 および Qt 5 のすべてのリリース、ならびに Qt 6.12 より前のすべての Qt 6 リリース(QDomImplementation::InvalidDataPolicy の既定値が AcceptInvalidChars)。
影響: 信頼できないテキストを QDom のコメント、CDATA セクション、処理命令ノードに挿入し、そのドキュメントをシリアライズするアプリケーションでは、当該テキストが意図したノードを閉じ、攻撃者が制御する兄弟マークアップを挿入した XML が出力され、生成されるドキュメントの構造が破壊されるおそれがあります。機密性への影響はなく、Qt 自体でのコード実行やサービス拒否も発生しません。
CVSS 4.0 スコア: 2.9(LOW)
ベクター文字列: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:P
緩和策: 影響を受けるすべてのバージョンにおいて、ドキュメントを構築する前に無効データポリシーを設定してください。QDomImplementation::setInvalidDataPolicy(QDomImplementation::ReturnNullNode); (または DropInvalidChars)。ReturnNullNode を指定すると、XML 1.0 の規定上無効なデータが渡された場合に QDom のファクトリ関数が null ノードを返すため、戻り値を確認してください。多層防御として、信頼できない入力は挿入前に検証し、QDom の出力を下流で信頼できる構造として扱わないようにしてください。
解決策: 既定の InvalidDataPolicy が ReturnNullNode となる Qt 6.12 以降にアップデートしてください。Qt 6.11 以前では既定値は変更されていないため、上記の緩和策を適用してください。
パッチ:
