Qt XML（qtbase）の QDomDocument::setContent() に脆弱性が見つかりました。XML 1.0 で無効な文字を含むデータを、invalidDataPolicy が QDomImplementation::ReturnNullNode の状態で解析すると、NULL ポインター参照によりアプリケーションがクラッシュし、サービス拒否に陥る可能性があります。機密性・完全性への影響はありません。CVSS 4.0 スコアは 1.9（Low）です。

対象は Qt 4.1.0〜6.8.8、Qt 6.9.0〜6.11.2 です。Qt 4.1.0 より前の影響は不明です。公式パッチを適用するか、Qt 6.8.9、Qt 6.11.3 以降の修正版へ更新してください。

回避策として、XML を渡す前に別途検証し、信頼できる提供元の XML のみを解析してください。ReturnNullNode が不要な場合は、invalidDataPolicy を既定値のままにする方法も示されています。

11月12日の追記では、報告者として KDE の Albert Astals Cid 氏への謝辞が追加されています。影響範囲や対処方法の変更はありません。

Qt Announce：謝辞の追記（英語）

Qt Group 公式記事（英語）

リリース情報の詳細を見る