安全公告：CVE-2026-105923 - 可通过VectorImage触发的QTriangulator空指针解引用漏洞
内容提要
Qt框架VectorImage QML类型存在拒绝服务漏洞CVE-2026-105923，影响Qt 6.8.0至6.8.8及6.9.0至6.11.2版本。处理特制SVG可致应用崩溃，CVSS评分4.0。建议避免加载不可信SVG，并升级至Qt 6.8.9、6.11.3或6.12.0以上版本或应用补丁。
延伸解读
漏洞影响范围与版本确认
公告明确列出受影响版本为 Qt 6.8.0 至 6.8.8 以及 6.9.0 至 6.11.2。使用这些版本且启用了 Qt Quick Vector Image 模块的开发者需注意，VectorImage QML 类型在处理特制 SVG 时可能触发空指针解引用，导致应用崩溃。建议核对项目实际使用的 Qt 版本，若在范围内应尽快安排升级或打补丁。
CVSS 4.0 评分 4.0 的含义
该漏洞 CVSS 4.0 评分为 4.0，属于中危。向量字符串显示攻击需本地访问（AV:L）且需要用户交互（UI:A），仅影响可用性（VA:H），不涉及机密性和完整性。这意味着攻击者通常需要诱使用户打开恶意 SVG 文件，而非远程直接利用。对于面向终端用户的应用，仍需重视拒绝服务风险。
临时缓解与修复方案
在无法立即升级的情况下，公告建议不要使用 VectorImage QML 类型加载不可信的 SVG 文件，以降低崩溃风险。修复方面，可升级至 Qt 6.8.9、6.11.3 或 6.12.0 及更高版本，或应用对应分支的补丁。补丁链接分别针对 dev、Qt 6.11 和 Qt 6.8 分支，开发者应根据自身版本选择。
Q&A
CVE-2026-105923 影响哪些 Qt 版本？
影响 Qt 6.8.0 至 6.8.8 以及 Qt 6.9.0 至 6.11.2 版本。
这个漏洞会导致什么后果？
处理特制的 SVG 内容时，使用 VectorImage QML 类型可能导致应用程序崩溃，造成可用性丧失。
CVE-2026-105923 的 CVSS 评分是多少？
CVSS 4.0 评分为 4.0，严重等级为中等（MEDIUM）。
如何临时缓解这个漏洞？
不要使用 VectorImage QML 类型加载不受信任的 SVG 文件。
修复该漏洞需要升级到哪个版本？
升级到 Qt 6.8.9、Qt 6.11.3 或 Qt 6.12.0 或更高版本，或应用官方补丁。
这个漏洞位于哪个模块？
位于 Qt Quick Vector Image 模块的 VectorImage QML 类型中。
