安全公告：CVE-2026-111487：Qt3D的assimp场景导入插件越界写入漏洞影响Qt框架
内容提要
Qt3D模块的assimp场景导入插件存在越界写入漏洞（CVE-2026-111487），影响Qt 5.9.0至6.12.0多个版本。导入恶意3D资源可致应用崩溃，并可能影响内存完整性，CVSS 4.0评分4.3（中危）。建议勿导入不可信3D文件，并更新至Qt 6.8.10、6.11.3、6.12.1、6.13.0或更高版本（尚未发布），或应用官方补丁。
延伸解读
漏洞影响范围与触发条件
该漏洞影响 Qt 5.9.0 至 6.8.9、6.9.0 至 6.11.2 以及 6.12.0 版本。攻击者需诱使用户通过 Qt3D 的 assimp 场景导入插件加载特制 3D 资源文件，才能触发越界写入。成功利用可能导致应用崩溃，并可能破坏内存完整性。由于攻击向量为本地（AV:L），且需要用户交互（UI:A），实际风险取决于应用是否处理来自不可信来源的 3D 文件。
CVSS 评分解读与风险定位
CVSS 4.0 评分为 4.3（中危），向量字符串显示可用性（VA:H）和完整性（VI:H）影响为高，但机密性（VC:N）无影响。攻击复杂度低（AC:L），无需特权（PR:N），但利用需要用户打开恶意文件（UI:A）。环境评分标记为“未验证”（E:U），意味着漏洞利用代码可能尚未公开。综合来看，该漏洞更可能导致拒绝服务或数据损坏，而非敏感信息泄露。
修复方案与版本发布状态
官方建议应用补丁或升级至 Qt 6.8.10、6.11.3、6.12.1、6.13.0 或更高版本，但公告明确指出这些版本尚未发布。因此，在升级可用前，应优先采用补丁链接中的修复（dev、6.12、6.8 分支）。若无法立即修补，应避免使用 Qt3D assimp 插件导入来自不可信来源的 3D 资源文件，以降低触发风险。
Q&A
CVE-2026-111487是什么漏洞？影响哪些Qt版本？
CVE-2026-111487是Qt3D模块中assimp场景导入插件的越界写入漏洞。影响版本包括：Qt 5.9.0至6.8.9、Qt 6.9.0至6.11.2、Qt 6.12.0。
这个漏洞的危险程度如何？CVSS评分是多少？
CVSS 4.0评分为4.3，属于中危（MEDIUM）级别。
导入恶意3D文件会导致什么后果？
通过受影响的插件导入特制的3D资源可能导致应用程序崩溃（影响可用性），并可能影响内存完整性。
如何临时规避CVE-2026-111487漏洞？
不要使用Qt3D的assimp场景导入插件导入来自不可信来源的3D资源文件。
修复该漏洞需要升级到哪个Qt版本？
应更新至Qt 6.8.10、6.11.3、6.12.1、6.13.0或更高版本（注意这些版本尚未发布），或应用官方提供的补丁。
官方补丁在哪里可以下载？
补丁链接包括：dev分支：https://codereview.qt-project.org/c/qt%2Fqt3d/+/777981；Qt 6.12：https://codereview.qt-project.org/c/qt%2Fqt3d/+/778738 或 https://download.qt.io/official_releases/qt/6.12/CVE-2026-111487-qt3d-6.12-0001.diff；Qt 6.8：https://codereview.qt-project.org/c/qt%2Ftqtc-qt3d/+/778767 或 https://download.qt.io/archive/qt/6.8/CVE-2026-111487-qt3d-6.8-0001.diff。
