安全公告：CVE-2026-105924 QCborValue转JSON转换中的空指针解引用漏洞影响Qt
内容提要
Qt Core模块QCborValue转JSON存在空指针解引用漏洞（CVE-2026-105924），影响Qt 5.12.0至6.12.0多个版本。应用解码不可信CBOR数据并转为JSON时，特制输入可致崩溃，造成拒绝服务，CVSS评分4.3。无缓解措施，建议升级至Qt 6.8.10、6.11.3、6.12.1或更高版本，或应用官方补丁。
延伸解读
漏洞触发条件与影响范围
该漏洞仅在应用使用QCborValue解码不可信CBOR数据并转换为JSON（QJsonValue、QJsonArray或QJsonObject）时触发。特制输入可导致空指针解引用，使应用崩溃，造成拒绝服务。受影响版本覆盖Qt 5.12.0至6.8.9、6.9.0至6.11.2以及6.12.0，范围较广，使用这些版本且处理外部CBOR数据的应用需重点排查。
CVSS评分与实际风险
CVSS 4.0评分为4.3（中危），向量显示攻击需本地访问且用户交互（UI:P），但可用性影响为高（VA:H）。这意味着攻击者需在本地环境诱导用户处理恶意CBOR数据，成功后可导致应用崩溃。虽然远程利用难度较高，但若应用暴露CBOR解析接口给不可信来源，仍可能被利用造成服务中断。
修复建议与版本选择
官方未提供缓解措施，建议直接升级至Qt 6.8.10、6.11.3、6.12.1或更高版本。若无法立即升级，可应用对应分支的官方补丁（6.8、6.11、6.12及dev分支均有提供）。由于漏洞影响多个版本系列，维护者应确认所用Qt版本是否在受影响范围内，并优先为处理不可信CBOR数据的组件安排更新。
Q&A
CVE-2026-105924 是什么漏洞？
CVE-2026-105924 是 Qt Core 模块中 QCborValue 转换为 JSON 时存在的空指针解引用漏洞。
哪些 Qt 版本受这个漏洞影响？
受影响版本包括：Qt 5.12.0 至 6.8.9、Qt 6.9.0 至 6.11.2 以及 Qt 6.12.0。
这个漏洞是如何被触发的？
当应用程序使用 QCborValue 解码不可信的 CBOR 数据，并将结果转换为 JSON（QJsonValue、QJsonArray 或 QJsonObject）时，特制输入可导致崩溃。
这个漏洞会造成什么后果？
可导致拒绝服务（应用崩溃），并且根据编译器/优化器行为，还可能存在其他内存安全后果。
这个漏洞的 CVSS 评分是多少？
CVSS 4.0 评分为 4.3，等级为中等（Medium）。
如何修复或缓解这个漏洞？
没有缓解措施，建议升级到 Qt 6.8.10、6.11.3、6.12.1 或更高版本，或应用官方提供的补丁。
