安全公告：CVE-2026-101201 JSON文档解析功能中的越界读取漏洞影响Qt Core及Qt 5 Core兼容API
内容提要
Qt Core模块的QJsonDocument及Qt 5兼容模块QBinaryJson在JSON解析时存在越界读取漏洞（CVE-2026-101201），影响Qt 5.0至6.8.8及6.9.0至6.11.2版本，可导致崩溃，CVSS 4.0评分为4.3（中危），目前暂无缓解措施。建议应用补丁或升级至Qt 6.8.9、6.11.3或更高版本。
延伸解读
漏洞影响范围广泛，需确认Qt版本
公告显示，从Qt 5.0到6.8.8以及6.9.0到6.11.2的所有版本均受此漏洞影响。这意味着大量使用Qt框架的应用程序可能面临风险，尤其是那些长期维护的旧项目。开发者应首先检查项目所使用的Qt版本，若落在受影响范围内，则需尽快制定修复计划。
漏洞触发条件与危害程度
该漏洞位于QJsonDocument和QBinaryJson的JSON解析功能中，当处理特制的JSON文档数据时可能引发越界读取，导致程序崩溃。CVSS 4.0评分为4.3（中危），攻击向量为本地（AV:L），且需要用户交互（UI:P），利用难度相对较高，但可用性影响为高（VA:H），可能造成服务中断。
暂无缓解措施，升级或打补丁是唯一途径
公告明确指出目前没有可用的缓解措施，因此受影响用户必须通过应用补丁或升级到Qt 6.8.9、6.11.3或更高版本来修复漏洞。补丁链接已提供，包括针对dev、Qt 6.11和Qt 6.8分支的代码审查链接及diff文件，方便开发者根据自身版本选择对应补丁。
Q&A
CVE-2026-101201 漏洞影响哪些 Qt 版本？
影响 Qt 5.0 至 6.8.8 以及 Qt 6.9.0 至 6.11.2 的所有版本。
这个漏洞会导致什么后果？
攻击者通过构造特殊的 JSON 文档数据，可触发越界读取，导致程序崩溃，影响可用性。
CVE-2026-101201 的 CVSS 评分是多少？
CVSS 4.0 评分为 4.3，属于中危漏洞。
目前有没有针对该漏洞的缓解措施？
官方表示暂无缓解措施，建议直接应用补丁或升级版本。
如何修复 CVE-2026-101201 漏洞？
应用官方提供的补丁，或升级到 Qt 6.8.9、Qt 6.11.3 或更高版本。
漏洞涉及 Qt 的哪些模块和功能？
涉及 Qt Core 模块的 QJsonDocument 以及 Qt 5 Core 兼容 API 模块的 QBinaryJson，均与 JSON 文档解析相关。
