安全公告：CVE-2026-100140：Qt5Compat 的 XML 解析功能存在整数溢出漏洞，影响 Qt
内容提要
Qt的XML解析组件（Qt5Compat/QXmlSimpleReader）存在整数溢出漏洞CVE-2026-100140，影响Qt 6.0至6.8.9、6.9.0至6.11.2及6.12.0。解析特制XML文档可能触发溢出，导致内存处理异常，最坏造成应用崩溃或数据损坏，CVSS 4.0评分1.9（低危）。建议解析前校验或拒绝过大的XML输入，并升级至Qt 6.8.10、6.11.3、6.12.1或更高版本，或应用官方补丁。
延伸解读
低危评分不等于零风险
该漏洞CVSS 4.0评分仅为1.9，属于低危级别，但公告明确指出最坏情况可导致应用崩溃或数据损坏。评分低主要因为攻击向量为本地（AV:L）且需要用户交互（UI:P），利用条件较苛刻。然而，对于需要解析外部XML输入的应用，一旦触发仍可能造成服务中断或数据异常，因此不应因评分低而忽视修复。
影响范围覆盖多个Qt 6版本分支
受影响版本包括Qt 6.0至6.8.9、6.9.0至6.11.2以及6.12.0，几乎涵盖所有仍在使用的Qt 6系列。这意味着大量基于Qt5Compat模块处理XML的现有项目可能暴露在风险中。开发者需对照自身使用的Qt版本，确认是否在影响范围内，并规划升级或打补丁。
缓解措施与修复路径
在无法立即升级的情况下，公告建议在解析前校验或拒绝过大的XML输入，以降低触发整数溢出的可能性。根本解决方案是升级至Qt 6.8.10、6.11.3、6.12.1或更高版本，或应用官方提供的补丁。公告还给出了各版本对应的补丁链接和压缩包下载地址，方便开发者按需选择。
Q&A
CVE-2026-100140 影响哪些 Qt 版本？
影响 Qt 6.0 至 6.8.9、Qt 6.9.0 至 6.11.2 以及 Qt 6.12.0。
这个漏洞的严重程度如何？
CVSS 4.0 评分为 1.9，属于低危漏洞。
Qt XML 解析整数溢出漏洞会导致什么后果？
处理特制 XML 文档可能触发整数溢出，导致内部内存处理异常，最坏情况会造成应用崩溃（拒绝服务）或数据损坏。
如何修复或缓解 CVE-2026-100140？
建议在解析前校验或拒绝过大的 XML 输入；同时升级至 Qt 6.8.10、6.11.3、6.12.1 或更高版本，或应用官方补丁。
漏洞位于 Qt 的哪个组件？
位于 Qt5Compat 的 XML 解析功能（QXmlSimpleReader）。
在哪里可以下载 CVE-2026-100140 的补丁？
官方提供了各版本的补丁链接，例如 Qt 6.8 可下载 https://download.qt.io/archive/qt/6.8/CVE-2026-100140-qt5compat-6.8.zip，Qt 6.11 和 6.12 也有对应的 zip 包，也可通过 codereview.qt-project.org 上的链接获取。
