Qt Blog ·

安全公告 CVE-2026-116337：Qt Network 的 HTTP 响应处理存在不受控资源消耗漏洞，影响 Qt 框架

Q: 目前有没有缓解措施？

目前没有可用的缓解措施。

💡 原文英文，约200词，阅读约需1分钟。

📝

内容提要

Qt Network模块的HTTP响应处理存在资源消耗漏洞CVE-2026-116337，影响Qt 4.5.0至6.8.10及6.12.1版本。应用连接恶意服务器时可能内存耗尽，导致拒绝服务，CVSS 4.0评分为0.6（低）。目前暂无缓解措施，建议升级至Qt 6.8.10、6.12.1或更高版本，或应用官方补丁。

🔎

延伸解读

漏洞影响范围与触发条件

该漏洞影响 Qt 4.5.0 至 6.8.10 以及 6.12.1 版本，涉及 Qt Network 模块的 HTTP 响应处理。攻击者需控制或入侵服务器，并诱导应用连接，才能触发内存耗尽导致拒绝服务。CVSS 4.0 评分为 0.6（低），表明利用条件较苛刻，但一旦触发仍可能影响应用可用性。

官方修复与升级建议

目前官方未提供临时缓解措施，建议用户升级至 Qt 6.8.10、6.12.1 或更高版本。对于无法立即升级的项目，可应用官方补丁，补丁链接已按开发分支和不同版本（6.12、6.11、6.8）分别提供。升级或打补丁是当前唯一的修复途径。

风险评估与应对优先级

尽管 CVSS 评分较低，但漏洞影响可用性，且利用无需认证，仅需用户交互（连接恶意服务器）。对于依赖 Qt Network 进行网络通信的应用，尤其是客户端软件，应评估是否暴露于不可信服务器环境。若存在风险，应优先安排升级或补丁应用，避免潜在拒绝服务影响业务。

❓

Q&A

CVE-2026-116337 影响哪些 Qt 版本？

影响从 Qt 4.5.0 到 Qt 6.8.10 或 Qt 6.12.1 的版本。Qt 4.5.0 之前的受影响状态未知。

这个漏洞会导致什么后果？

使用受影响功能的应用程序在连接到恶意或受感染的服务器时可能耗尽内存，导致拒绝服务（DoS），影响可用性。

CVE-2026-116337 的 CVSS 评分是多少？

CVSS 4.0 评分为 0.6（低），向量字符串为 CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:L/SA:N/E:U/R:U/RE:L/U:Green。

目前有没有缓解措施？