セキュリティ勧告: CVE-2026-97845 QXmlSimpleReaderにおける制御されない再帰の脆弱性

Qt 6のQt 5 Core Compatibility APIsモジュールおよびQt 5のQt XMLモジュールに含まれるQXmlSimpleReaderのXML解析機能において、制御されない再帰（uncontrolled recursion）の脆弱性が発見されました。この脆弱性にはCVE-2026-97845が割り当てられています。

影響を受けるバージョン: Qt 5.0.0〜Qt 6.8.9、Qt 6.9.0〜Qt 6.11.2
Qt 5.0.0より前のバージョンへの影響は不明です

影響: QXmlSimpleReaderを使用するアプリケーションが、悪意を持って細工されたXMLドキュメントを解析するとクラッシュする可能性があり、その結果サービス拒否（DoS）が発生するおそれがあります。機密性と完全性への影響はありません。

CVSS 4.0スコア: 4.3 / Medium

ベクター文字列: CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:U/R:U/U:Green

緩和策: QXmlSimpleReader内での回避策はありません。修正を適用するまでは、信頼できないソースからのXML解析にQXmlSimpleReaderを使用しないでください。

対処法: 以下のパッチを適用するか、Qt 6.8.10、Qt 6.11.3、Qt 6.12.0以降にアップデートしてください。

パッチ

• dev:
  • https://codereview.qt-project.org/c/qt/qt5compat/+/771290
  • https://codereview.qt-project.org/c/qt/qt5compat/+/774512
  • https://codereview.qt-project.org/c/qt/qt5compat/+/774513
  • https://codereview.qt-project.org/c/qt/qt5compat/+/774632
  • https://codereview.qt-project.org/c/qt/qt5compat/+/760219
  • https://codereview.qt-project.org/c/qt/qt5compat/+/760220
• Qt 6.11:
  • https://codereview.qt-project.org/c/qt/qt5compat/+/774842
  • https://codereview.qt-project.org/c/qt/qt5compat/+/774858
  • https://codereview.qt-project.org/c/qt/qt5compat/+/774880
  • https://codereview.qt-project.org/c/qt/qt5compat/+/774881
  • https://codereview.qt-project.org/c/qt/qt5compat/+/774878
  • https://codereview.qt-project.org/c/qt/qt5compat/+/774889
  • または https://download.qt.io/archive/qt/6.11/CVE-2026-97845-qt5compat-6.11.zip
• Qt 6.8:
  • https://codereview.qt-project.org/c/qt/tqtc-qt5compat/+/774860
  • https://codereview.qt-project.org/c/qt/tqtc-qt5compat/+/774859
  • https://codereview.qt-project.org/c/qt/tqtc-qt5compat/+/774886
  • https://codereview.qt-project.org/c/qt/tqtc-qt5compat/+/774887
  • https://codereview.qt-project.org/c/qt/tqtc-qt5compat/+/774885
  • https://codereview.qt-project.org/c/qt/tqtc-qt5compat/+/774911
  • または https://download.qt.io/archive/qt/6.8/CVE-2026-97845-qt5compat-6.8.zip