Godot 4.x: escrita fora do heap no carregador binário, CVE-2026-110735 contestado
Atualização pública sobre escrita fora dos limites do heap causada por comprimento negativo de string no carregador de recursos binários do Godot 4.x. O identificador CVE-2026-110735 foi atribuído, mas o registro está marcado como contestado.
Segundo a atualização publicada na lista oss-sec em 15 de outubro de 2026, a falha no Godot 4.x permite escrita fora dos limites do heap quando o carregador de recursos binários recebe um comprimento de string negativo. Foi atribuído o identificador CVE-2026-110735. O MITRE atribuiu a pontuação CVSS:3.1/AV:L/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N, equivalente a 2.5.
O registro do CVE está marcado como contestado, e sua descrição cita a posição do fornecedor de que não há problemas de segurança. O autor informa ter apresentado pedido de reconsideração à autoridade de última instância para numeração de CVEs do MITRE (CNA-LR). O desfecho desse pedido não consta do texto.
Para consultar e verificar, leia a mensagem original no arquivo da lista oss-sec de 2026 e o registro do CVE no catálogo público do programa CVE, sem depender deste resumo. O texto não informa versões afetadas nem correção; confirme essas informações diretamente no projeto Godot.