Godot 4.x: escrita fora dos limites do heap no carregador HDR Radiance (CVE-2026-110734, contestado)

O aviso foi publicado por Tomasz Kaye na lista oss-sec em 15 de outubro de 2026 e é uma tradução automática do conteúdo original. A falha está no carregador de imagens Radiance HDR do Godot 4.x e consiste em escrita fora dos limites do heap. Após a publicação, foi atribuído o identificador CVE-2026-110734. O registro está marcado como contestado, e a descrição cita a posição do fornecedor de que não há problemas de segurança. O MITRE atribuiu a pontuação CVSS:3.1/AV:L/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N, com nota 2.5. O vetor indica acesso local, alta complexidade, necessidade de interação do usuário e impacto baixo apenas na integridade. O autor informou que apresentou pedido de reconsideração à autoridade de última instância para numeração de CVEs do MITRE (CNA-LR). Para verificar, consulte a mensagem original na lista oss-sec pelo endereço indicado no texto, pesquise o identificador CVE-2026-110734 no site oficial do programa CVE e compare com as notas de versão do projeto Godot. Até que haja uma decisão final, trate o status como incerto.