CVE-2026-16762 Denegación de servicio en el parser QXmlStreamReader de Qt Core

Qué es CVE-2026-16762

Un atacante que pueda entregar un documento XML manipulado a una aplicación que use QXmlStreamReader puede provocar un consumo desproporcionado de CPU durante el parseo, dejando la aplicación sin respuesta. No requiere autenticación ni interacción del usuario, y el impacto se limita al proceso afectado, sin pérdida de confidencialidad ni integridad.

Productos y versiones afectadas

• qt

  • desde 4.3.0 hasta antes de 6.8.9
  • desde 6.9.0 hasta antes de 6.11.2

Qué hacer

1. Verificá si usás qt y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 8.7 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/S:P/AU:Y/R:A/RE:L

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Ninguno

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Ninguna

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Ninguna

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Alta

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

An attacker able to supply a crafted XML document to an application using QXmlStreamReader can cause disproportionate CPU consumption during parsing, making the application unresponsive (denial of service). Exploitation requires only that the application parse attacker-influenced XML; no authentication, privileges, or user interaction beyond ingesting the input are needed. There is no loss of confidentiality or integrity — no data disclosure, data modification, or code execution — and the impact is contained to the affected process.

Referencias

• wiki.qt.io/List_of_known_vulnerabilities_in_Qt_products#CVE-2026-16762:VENDOR-ADVISORY
• codereview.qt-project.org/c/qt/qtbase/+/738885PATCH
• codereview.qt-project.org/c/qt/qtbase/+/738901PATCH

Historial de la alerta

1. 23 OCT · 08:35VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.