Vulnerabilidad en QFileSystemEngine (CVE-2025-4211)
Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-59
Incorrecta resolución de una ruta antes de aceder a un fichero (Seguimiento de enlaces)
Fecha de publicación:
16/05/2025
Última modificación:
16/05/2025
Descripción
Vulnerabilidad de resolución incorrecta de enlaces antes del acceso a archivos ('Seguimiento de enlaces') en QFileSystemEngine, en el módulo Qt corelib de Windows, que potencialmente permite ataques de enlaces simbólicos y el uso de archivos maliciosos. El problema se origina en CVE-2024-38081. La vulnerabilidad surge del uso de la API GetTempPath, que puede ser explotada por atacantes para manipular rutas de archivos temporales, lo que podría provocar acceso no autorizado y escalada de privilegios. La API pública afectada en Qt Framework es QDir::tempPath() y cualquier componente que la utilice, como QStandardPaths con TempLocation, QTemporaryDir y QTemporaryFile. Este problema afecta a todas las versiones de Qt hasta la 5.15.18 (inclusive), de la 6.0.0 a la 6.5.8 y de la 6.6.0 a la 6.8.1. Se solucionó en Qt 5.15.19, Qt 6.5.9, Qt 6.8.2, 6.9.0
Impacto
Puntuación base 4.0
7.30
Gravedad 4.0
ALTA