Qt 5/6 的 QTextCodec 转换函数存在整数溢出漏洞（CVE-2026-103645），仅影响启用 ICU 的构建。处理超大数据时可能陷入死循环，导致拒绝服务，CVSS 4.0 评分 1.1（低危）。影响 Qt 5.0.0 至 6.8.8、6.9.0 至 6.11.2。缓解方法是将转换分块，每块不超过 100 MB；建议更新至 Qt 6.8.9、6.11.3、6.12.0 或更高版本，或应用官方补丁。
Qt 5/6 的 QXmlSimpleReader 存在不受控递归漏洞（CVE-2026-97845），影响 Qt 5.0.0 至 6.8.9、6.9.0 至 6.11.2。解析恶意 XML 可致应用崩溃，造成拒绝服务，不影响机密性与完整性，CVSS 4.0 评分 4.3（中危）。该组件内无缓解措施，修复前应避免解析不可信来源的 XML。建议升级至 Qt 6.8.10、6.11.3、6.12.0 或更高版本，或应用官方补丁。
Qt WebSockets模块的QWebSocket和QWebSocketServer类存在资源耗尽漏洞（CVE-2026-114369）。受影响版本为Qt 5.15.0至6.8.9及6.9.0至6.12.0，其中QWebSocketServer自5.15.0起受影响，QWebSocket自6.3.0起受影响。远程对端可导致应用CPU过度消耗，造成拒绝服务，CVSS 4.0评分2.7（低危）。目前无缓解措施，建议应用补丁或升级至Qt 6.8.10、6.12.1或更高版本。
群晖发布SA-26:19安全公告，披露DSM两个高危漏洞：CVE-2026-76954为身份验证API中的SQL注入，可免验证远程读写任意文件，存在勒索加密风险；CVE-2026-85101为rsync组件验证绕过，可读写特定文件并造成有限DoS。修复已于10月12日随DSM更新发布，涉及7.4、7.3、7.2.2、7.2.1等分支。无法升级者应确保NAS仅限内网使用，勿暴露公网。
Qt框架XML模块的QDomDocument::setContent()存在空指针解引用漏洞（CVE-2026-82292），影响Qt 4.1.0至6.8.8及6.9.0至6.11.2。当invalidDataPolicy设为ReturnNullNode并解析含XML 1.0非法字符的数据时，节点工厂返回空节点，DOM构建器未检查即解引用，导致应用崩溃（拒绝服务），不影响机密性和完整性，CVSS 4.0评分1.9。建议解析前验证XML、仅处理可信来源或保持默认策略；修复可升级至Qt 6.8.9或6.11.3以上，或应用官方补丁。
Qt多媒体模块因捆绑的FFmpeg库存在CVE-2026-8461内存破坏漏洞而受影响。仅二进制发行版直接受影响，源码构建者若链接未修复的FFmpeg同样受影响。受影响版本为Qt 6.8.0至6.8.8、6.9.0至6.11.1。处理特制媒体文件可致崩溃甚至任意代码执行，CVSS评分8.8。建议升级至Qt 6.8.9或6.11.2，或改用FFmpeg 7.1.5重建，并避免处理不可信媒体文件。
GitHub员工Elijah Newren是merge-ort合并策略的设计者与实现者，该策略自Git 2.34起成为Git默认合并策略；他亦是Git官方推荐的历史重写工具git-filter-repo的作者，并推动了sparse-checkout的发展。
Qt Network模块的HTTP响应处理存在资源消耗漏洞CVE-2026-116337，影响Qt 4.5.0至6.8.10及6.12.1版本。应用连接恶意服务器时可能内存耗尽，导致拒绝服务，CVSS 4.0评分为0.6（低）。目前暂无缓解措施，建议升级至Qt 6.8.10、6.12.1或更高版本，或应用官方补丁。
陶哲轩博客发布简短公告，邀请读者在评论区补充相关文章链接，延续以往做法。
Qt WebSockets模块的QWebSocket认证处理存在信息泄露漏洞（CVE-2026-114366），影响Qt 6.6.0至6.8.9、6.9.0至6.11.2及6.12.0版本，可能导致凭据泄露，CVSS 4.0评分为2.3（低危）。缓解措施为避免复用同一QWebSocket实例建立多个连接，建议应用补丁或升级至Qt 6.8.10、6.11.3、6.12.1及以上版本。
Qt 5 Core兼容API模块的QTextCodec转换函数存在整数截断漏洞（CVE-2026-107479），影响Qt 5.0.0至6.8.8及6.9.0至6.11.2版本，可导致应用崩溃，CVSS评分1.7（低危）。建议将大数据分块处理，或升级至Qt 6.8.9、6.11.3、6.12.0及以上版本并应用官方补丁。
Qt HTTP Server的QHttpServer组件存在资源耗尽漏洞（CVE-2026-110944），影响Qt 6.4.0至6.11.2及6.12.0版本。远程未认证攻击者可导致应用内存过度消耗，造成拒绝服务，CVSS 4.0评分为2.7（低危）。目前无缓解措施，建议升级至Qt 6.11.3、6.12.1或更高版本，或应用官方补丁。
Qt CoAP模块存在越界读取漏洞（CVE-2026-103653），影响Qt 5.13.0至6.8.8及6.9.0至6.11.2版本。处理畸形CoAP消息可导致应用崩溃或使用错误数据，CVSS 4.0评分为6.7。目前无临时缓解措施，建议仅接受可信对等方流量，并升级至Qt 6.8.9 LTS、6.11.3、6.12.0或更高版本，或应用官方补丁。
Qt的XML解析组件（Qt5Compat/QXmlSimpleReader）存在整数溢出漏洞CVE-2026-100140，影响Qt 6.0至6.8.9、6.9.0至6.11.2及6.12.0。解析特制XML文档可能触发溢出，导致内存处理异常，最坏造成应用崩溃或数据损坏，CVSS 4.0评分1.9（低危）。建议解析前校验或拒绝过大的XML输入，并升级至Qt 6.8.10、6.11.3、6.12.1或更高版本，或应用官方补丁。
Qt3D模块的assimp场景导入插件存在越界写入漏洞（CVE-2026-111487），影响Qt 5.9.0至6.12.0多个版本。导入恶意3D资源可致应用崩溃，并可能影响内存完整性，CVSS 4.0评分4.3（中危）。建议勿导入不可信3D文件，并更新至Qt 6.8.10、6.11.3、6.12.1、6.13.0或更高版本（尚未发布），或应用官方补丁。
Qt MQTT模块的QMqttClient类存在内存破坏漏洞CVE-2026-107457，影响Qt 5.12.0至6.8.8及6.9.0至6.11.2版本。在特定MQTT 5连接设置下可能损坏内存并导致应用崩溃，CVSS 4.0评分为2.3（低危）。目前无缓解措施，建议应用补丁或升级至Qt 6.8.9、6.11.3、6.12.0或更高版本。
Qt Core模块QCborValue转JSON存在空指针解引用漏洞（CVE-2026-105924），影响Qt 5.12.0至6.12.0多个版本。应用解码不可信CBOR数据并转为JSON时，特制输入可致崩溃，造成拒绝服务，CVSS评分4.3。无缓解措施，建议升级至Qt 6.8.10、6.11.3、6.12.1或更高版本，或应用官方补丁。
Qt网络模块NTLM认证存在越界读取漏洞（CVE-2026-105946），影响Qt 6.8.0至6.8.9及6.9.0至6.11.1。恶意服务器或代理可利用该漏洞泄露堆内存或导致应用崩溃，CVSS评分5.3。目前无临时解决方案，建议仅对可信服务器启用NTLM，并升级至Qt 6.11.2、6.8.10或6.12.0以上版本，或应用官方补丁。
Qt 5兼容模块的QTextCodec中基于iconv的编码存在越界写漏洞（CVE-2026-107590），影响Qt 4.5.0至6.8.8及6.9.0至6.11.2。编码文本时可能写出内部缓冲区，导致应用崩溃并影响数据完整性，CVSS 4.0评分为1.9（低危）。目前无缓解措施，建议应用补丁或升级至Qt 6.8.9、6.11.3、6.12.0或更高版本。
Qt 5兼容模块的QTextCodec TSCII编码存在漏洞CVE-2026-107472，影响Qt 4.0.0至6.8.8及6.9.0至6.11.2。将文本转换为TSCII编码时可能读取输入缓冲区外内存，导致崩溃或数据误读，CVSS评分4.3（中危）。目前无缓解措施，建议应用补丁或升级至Qt 6.8.9、6.11.3、6.12.0及以上版本。
完成下面两步后，将自动完成登录并继续当前操作。
