安全公告：CVE-2026-107590：QTextCodec 基于 iconv 的编码越界写漏洞影响 Qt
内容提要
Qt 5兼容模块的QTextCodec中基于iconv的编码存在越界写漏洞（CVE-2026-107590），影响Qt 4.5.0至6.8.8及6.9.0至6.11.2。编码文本时可能写出内部缓冲区，导致应用崩溃并影响数据完整性，CVSS 4.0评分为1.9（低危）。目前无缓解措施，建议应用补丁或升级至Qt 6.8.9、6.11.3、6.12.0或更高版本。
延伸解读
低危评分不等于可忽略
CVSS 4.0 评分为 1.9（低危），但向量显示攻击前提较多（AT:P）、用户交互被动（UI:P），且可用性影响为高（VA:H）。这意味着漏洞利用条件较苛刻，但一旦触发可能导致应用崩溃，对数据完整性也有轻微影响。对于稳定性要求高的场景，仍建议按官方方案修复。
影响范围横跨多个大版本
受影响版本从 Qt 4.5.0 一直延伸到 Qt 6.8.8，以及 Qt 6.9.0 至 6.11.2。这说明问题存在于 Qt 5 兼容模块的 QTextCodec 实现中，且长期未修复。使用 Qt 5 兼容 API 或旧版 Qt Core 的项目需重点排查是否调用了基于 iconv 的编码功能。
修复方式明确但无临时缓解
公告明确表示没有缓解措施，只能通过应用补丁或升级到 Qt 6.8.9、6.11.3、6.12.0 或更高版本解决。补丁链接分别对应 dev、6.11 和 6.8 分支，便于不同版本用户选择。若无法立即升级，应评估编码文本的调用路径，并关注后续官方更新。
Q&A
CVE-2026-107590 是什么漏洞？影响哪些 Qt 版本？
CVE-2026-107590 是 Qt 中 QTextCodec 基于 iconv 的编码越界写漏洞，影响 Qt 4.5.0 至 6.8.8 以及 6.9.0 至 6.11.2 版本。
这个漏洞会导致什么后果？严重程度如何？
编码文本时可能写出内部缓冲区，导致应用程序崩溃，并可能影响数据完整性。CVSS 4.0 评分为 1.9，属于低危漏洞。
目前有缓解措施吗？如何修复 CVE-2026-107590？
目前没有缓解措施。建议应用官方补丁，或升级至 Qt 6.8.9、Qt 6.11.3、Qt 6.12.0 或更高版本。
CVE-2026-107590 的 CVSS 向量字符串是什么？
CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:H/SC:N/SI:N/SA:N/E:U/R:U/RE:L/U:Green
哪些 Qt 模块受到这个漏洞影响？
受影响的是 Qt 5 兼容性 API 模块（Qt 5 及更早版本中的 Qt Core）里的 QTextCodec 基于 iconv 的编码功能。
修复 CVE-2026-107590 的补丁在哪里可以下载？
补丁链接包括：dev 分支 https://codereview.qt-project.org/c/qt/qt5compat/+/762752；Qt 6.11 分支 https://codereview.qt-project.org/c/qt/qt5compat/+/766196 或 https://download.qt.io/official_releases/qt/6.11/CVE-2026-107590-qt5compat-6.11.diff；Qt 6.8 分支 https://codereview.qt-project.org/c/qt/tqtc-qt5compat/+/766290 或 https://download.qt.io/archive/qt/6.8/CVE-2026-107590-qt5compat-6.8.diff。
