安全公告：CVE-2026-107479：QTextCodec转换函数中的整数截断漏洞影响Qt框架
内容提要
Qt 5 Core兼容API模块的QTextCodec转换函数存在整数截断漏洞（CVE-2026-107479），影响Qt 5.0.0至6.8.8及6.9.0至6.11.2版本，可导致应用崩溃，CVSS评分1.7（低危）。建议将大数据分块处理，或升级至Qt 6.8.9、6.11.3、6.12.0及以上版本并应用官方补丁。
延伸解读
漏洞影响范围与版本确认
公告明确列出了受影响版本：Qt 5.0.0 至 6.8.8，以及 6.9.0 至 6.11.2。对于 Qt 5.0.0 之前的版本，影响状态未知。这意味着使用这些版本且调用了 QTextCodec 转换函数的应用可能面临风险。开发者应首先确认自身项目使用的 Qt 版本是否在受影响范围内，并关注后续对更早版本的评估。
实际风险：低危但需关注可用性
该漏洞的 CVSS 4.0 评分为 1.7，属于低危级别。攻击向量为本地（AV:L），且需要满足特定前提条件（AT:P），用户交互为主动（UI:A）。影响仅限于可用性（VA:H），即可能导致应用崩溃，而不会造成机密性或完整性损失。尽管评分较低，但在处理不可信输入或对稳定性要求高的场景中，仍建议采取缓解措施。
缓解与修复方案
对于无法立即升级的用户，公告建议在向 QTextCodec 转换函数传递超大输入数据时，使用接受 ConverterState 参数的重载函数分块处理数据，以降低触发整数截断的风险。根本解决方案是升级至 Qt 6.8.9、6.11.3 或 6.12.0 及以上版本，或应用官方提供的对应补丁。开发者应根据自身版本选择正确的补丁链接进行修复。
Q&A
CVE-2026-107479是什么漏洞？影响哪些Qt版本？
CVE-2026-107479是Qt框架中Qt 5 Core兼容API模块的QTextCodec转换函数存在的整数截断漏洞。受影响版本为Qt 5.0.0至6.8.8，以及Qt 6.9.0至6.11.2。Qt 5.0.0之前的版本受影响状态未知。
这个漏洞会导致什么后果？严重程度如何？
该漏洞影响可用性，使用受影响功能的应用可能崩溃。CVSS 4.0评分为1.7（低危），向量字符串为CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:A/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:U/RE:L/U:Green。
如何临时缓解CVE-2026-107479漏洞？
如果应用将非常大的输入数据传递给QTextCodec转换函数，应使用接受ConverterState参数的重载函数将数据分块处理，以减小数据块大小。
修复CVE-2026-107479需要升级到哪个Qt版本？
应升级到Qt 6.8.9、Qt 6.11.3或Qt 6.12.0及更高版本，并应用官方补丁。
CVE-2026-107479的官方补丁在哪里下载？
补丁链接如下：dev分支：https://codereview.qt-project.org/c/qt/qt5compat/+/763226；Qt 6.11：https://codereview.qt-project.org/c/qt/qt5compat/+/766635 或 https://download.qt.io/official_releases/qt/6.11/CVE-2026-107479-qt5compat-6.11.diff；Qt 6.8：https://codereview.qt-project.org/c/qt/tqtc-qt5compat/+/766683 或 https://download.qt.io/archive/qt/6.8/CVE-2026-107479-qt5compat-6.8.diff。
Qt 5.0.0之前的版本是否受CVE-2026-107479影响？
Qt 5.0.0之前版本的受影响状态未知。
