安全公告：CVE-2026-97845 QXmlSimpleReader XML 解析中的不受控递归漏洞影响 Qt
内容提要
Qt 5/6 的 QXmlSimpleReader 存在不受控递归漏洞（CVE-2026-97845），影响 Qt 5.0.0 至 6.8.9、6.9.0 至 6.11.2。解析恶意 XML 可致应用崩溃，造成拒绝服务，不影响机密性与完整性，CVSS 4.0 评分 4.3（中危）。该组件内无缓解措施，修复前应避免解析不可信来源的 XML。建议升级至 Qt 6.8.10、6.11.3、6.12.0 或更高版本，或应用官方补丁。
延伸解读
影响范围与版本分支
公告明确受影响版本为 Qt 5.0.0 至 6.8.9，以及 Qt 6.9.0 至 6.11.2。Qt 5.0.0 之前的状态未知。这意味着使用 QXmlSimpleReader 的 Qt 5 和 Qt 6 应用都可能受影响，但公告未说明具体利用条件，仅指出解析恶意 XML 可导致崩溃。
风险性质与评分解读
该漏洞仅影响可用性，可导致拒绝服务，不涉及机密性和完整性。CVSS 4.0 评分为 4.3（中危），向量字符串显示攻击需本地访问、低复杂度、无需特权，但需要用户交互。因此实际风险取决于应用是否解析来自不可信来源的 XML。
修复与临时应对
QXmlSimpleReader 内部没有缓解措施，修复前应避免解析不可信来源的 XML。官方建议升级至 Qt 6.8.10、6.11.3、6.12.0 或更高版本，或应用针对 dev、Qt 6.11、Qt 6.8 分支提供的补丁。公告未提供其他替代方案。
Q&A
CVE-2026-97845 影响哪些 Qt 版本？
影响 Qt 5.0.0 至 6.8.9，以及 Qt 6.9.0 至 6.11.2。Qt 5.0.0 之前的版本受影响状态未知。
这个漏洞会导致什么后果？
使用 QXmlSimpleReader 解析恶意构造的 XML 文档可能导致应用程序崩溃，造成拒绝服务。机密性和完整性不受影响。
CVE-2026-97845 的严重程度如何？
CVSS 4.0 评分为 4.3，属于中危漏洞。
在修复前有什么临时缓解措施？
QXmlSimpleReader 内部没有可用的缓解措施。在应用修复前，应避免使用 QXmlSimpleReader 解析来自不可信来源的 XML。
如何修复或升级以避免此漏洞？
可以应用官方补丁，或升级到 Qt 6.8.10、Qt 6.11.3、Qt 6.12.0 或更高版本。
这个漏洞影响哪些 Qt 模块？
影响 Qt 5 的 Qt XML 模块和 Qt 6 的 Qt 5 Core Compatibility APIs 模块中的 QXmlSimpleReader 功能。
