Qtフレームワークの Qt XMLモジュール（qtbase）におけるQDomDocument::setContent()のXML解析処理で、NULLポインタ参照の脆弱性が発見されました。CVE IDはCVE-2026-82292が割り当てられています。
影響を受けるバージョン: Qt 4.1.0〜Qt 6.8.8、Qt 6.9.0〜Qt 6.11.2
Qt 4.1.0より前のバージョンについては、影響の有無は不明です。
影響: invalidDataPolicyがQDomImplementation::ReturnNullNodeに設定された状態で、XML 1.0において無効な文字を含むXMLをQDomDocument::setContent()で解析すると、この問題が発生します。ドキュメントノードファクトリーがnullノードを返しますが、DOMビルダーはそのポインタをnullチェックせずに参照します。最悪の場合、アプリケーションがクラッシュします（サービス拒否）。機密性と完全性への影響はありません。
CVSS 4.0スコア: 1.9 / LOW
ベクター文字列: CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:P/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:U/R:U/RE:L
緩和策: QDomDocument::setContent()に渡す前に、XMLデータを個別に検証してください。信頼できるソースから取得したXMLのみを解析してください。QDomImplementation::ReturnNullNodeを必要としないアプリケーションは、invalidDataPolicyをデフォルト設定のままにすることで、この問題を回避できます。
対処法: 以下のパッチを適用するか、Qt 6.8.9またはQt 6.11.3以降にアップデートしてください。
パッチ
謝辞: この脆弱性を報告いただいた、KDEのAlbert Astals Cid氏に感謝します。
