安全公告：Qt Core QXmlStream解析器（QXmlStreamReader）拒绝服务漏洞CVE-2026-16762影响Qt
内容提要
Qt Core的QXmlStreamReader存在拒绝服务漏洞CVE-2026-16762，影响Qt 4.3.0至6.8.8及6.9.0至6.11.1，QtXml/QDomDocument不受影响。攻击者提供特制XML可致解析时CPU过度消耗、应用无响应，无需认证或交互，不涉及数据泄露或代码执行，CVSS 4.0评分8.7。建议限制不可信XML大小与属性数量并设解析超时，或升级至Qt 6.8.9、6.11.2、6.12.0及以上并应用补丁。
延伸解读
影响范围与组件边界
漏洞仅影响 Qt Core 的 QXmlStreamReader，QtXml / QDomDocument 不受影响。受影响版本覆盖 Qt 4.3.0 至 6.8.8 以及 6.9.0 至 6.11.1，跨度较大，使用这些版本且解析外部 XML 的应用需重点排查。Qt 4.3.0 之前的状态未知，旧系统也应保持警惕。
攻击条件与危害边界
攻击者只需能向使用 QXmlStreamReader 的应用提供特制 XML，无需认证或用户交互，即可在解析时造成 CPU 过度消耗，导致应用无响应。危害限于进程可用性，不涉及数据泄露、篡改或代码执行。CVSS 4.0 评分 8.7，属于高危拒绝服务漏洞。
缓解与修复的优先级
在无法立即升级时，应在入口处限制不可信 XML 的大小和属性数量，并设置解析超时，避免在无限制条件下进程内解析攻击者可控的 XML。修复方面可升级至 Qt 6.8.9、6.11.2、6.12.0 或更高版本，或应用官方提供的对应补丁。
Q&A
CVE-2026-16762 影响哪些 Qt 版本？
影响 Qt 4.3.0 至 6.8.8，以及 Qt 6.9.0 至 6.11.1。Qt 4.3.0 之前的状态未知。QtXml / QDomDocument 不受影响。
这个漏洞是如何导致拒绝服务的？
攻击者提供特制 XML 文档给使用 QXmlStreamReader 的应用，解析时会导致 CPU 过度消耗，使应用无响应，形成拒绝服务。无需认证或用户交互，只需应用解析攻击者影响的 XML。
CVE-2026-16762 的 CVSS 评分和严重等级是多少？
CVSS 4.0 评分为 8.7，等级为 HIGH。向量字符串为 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N。
这个漏洞会导致数据泄露或代码执行吗？
不会。该漏洞仅导致拒绝服务（CPU 消耗、应用无响应），没有机密性或完整性损失，即无数据泄露、数据修改或代码执行，影响仅限于受影响进程。
如何缓解 CVE-2026-16762 的风险？
在解析前验证并限制不可信 XML 的大小（在入口点限制输入大小和属性数量），并强制执行解析超时。不要在没有这些限制的情况下在进程内解析攻击者控制的 XML。
修复 CVE-2026-16762 应该升级到哪个 Qt 版本？
升级到 Qt 6.8.9、6.11.2、6.12.0 或更高版本，并应用官方补丁。补丁链接已在公告中提供。
