安全公告 CVE-2026-114366：QWebSocket 认证处理中的信息泄露漏洞影响 Qt 框架
内容提要
Qt WebSockets模块的QWebSocket认证处理存在信息泄露漏洞（CVE-2026-114366），影响Qt 6.6.0至6.8.9、6.9.0至6.11.2及6.12.0版本，可能导致凭据泄露，CVSS 4.0评分为2.3（低危）。缓解措施为避免复用同一QWebSocket实例建立多个连接，建议应用补丁或升级至Qt 6.8.10、6.11.3、6.12.1及以上版本。
延伸解读
漏洞触发条件与风险场景
该漏洞源于QWebSocket认证处理中的信息泄露，影响Qt 6.6.0至6.8.9、6.9.0至6.11.2及6.12.0版本。攻击者可通过网络访问，但需要用户交互（UI:P），且攻击复杂度低（AC:L）。成功利用可能导致凭据泄露，但仅影响机密性，不涉及完整性或可用性。CVSS 4.0评分为2.3（低危），表明整体风险较低，但仍需关注。
临时缓解措施：避免实例复用
在无法立即升级的情况下，官方建议不要复用同一个QWebSocket实例建立多个连接。这一措施可降低漏洞被触发的可能性，因为漏洞与认证处理中的实例复用有关。开发者应检查代码中是否存在重复使用同一QWebSocket对象的情况，并改为每个连接创建新实例，以作为临时防护。
修复版本与补丁获取
官方已发布修复版本：Qt 6.8.10、6.11.3和6.12.1及更高版本。对于无法升级的项目，可应用对应分支的补丁：6.12分支提供代码评审链接和diff文件，6.11分支提供代码评审链接，6.8分支提供代码评审链接和diff文件。建议根据使用的Qt版本选择相应补丁，并及时更新。
Q&A
CVE-2026-114366 影响哪些 Qt 版本？
影响 Qt 6.6.0 至 6.8.9、6.9.0 至 6.11.2 以及 6.12.0 版本。Qt 6.6.0 之前的版本受影响状态未知。
这个漏洞的严重程度如何？CVSS 评分是多少？
CVSS 4.0 评分为 2.3，属于低危漏洞。
QWebSocket 信息泄露漏洞可能导致什么后果？
可能导致机密性受损，存在凭据泄露的潜在风险。
如何临时缓解 CVE-2026-114366 的风险？
避免复用同一个 QWebSocket 实例建立多个连接。
修复该漏洞应该升级到哪个 Qt 版本？
升级至 Qt 6.8.10、6.11.3 或 6.12.1 及以上版本。
在哪里可以下载 CVE-2026-114366 的补丁？
补丁链接包括：dev 分支的 codereview 链接、6.12 分支的 codereview 链接或 diff 文件、6.11 分支的 codereview 链接、6.8 分支的 codereview 链接或 diff 文件。具体 URL 见公告。
