Cyber ·
Godot 4.x: execução de código via cabeçalho Plural-Forms em arquivos de tradução .po
Vulnerabilidade divulgada em 26 de outubro de 2026 no carregamento de traduções .po do Godot 4.x, nas versões 4.1.0 a 4.7.2. Confirmada em tempo de execução na exportação oficial 4.7-stable. Nenhum caminho equivalente foi encontrado na versão 3.5.
O aviso descreve uma vulnerabilidade de execução de código no carregamento de traduções do Godot 4.x, divulgada publicamente em 26 de outubro de 2026 pelo feed oss-sec. As versões afetadas são 4.1.0 a 4.7.2. Segundo o texto, a falha foi confirmada em tempo de execução na exportação oficial 4.7-stable, e não foi encontrado caminho equivalente na versão 3.5.
O problema está no carregador de arquivos .po, que armazena o cabeçalho Plural-Forms sem validá-lo em relação à gramática do GNU gettext (core/io/translation_loader_po.cpp:232). Na primeira consulta de plural, o cabeçalho é processado, e é aí que o aviso indica a execução de código. O texto recebido está truncado, então os detalhes completos devem ser lidos na fonte original.
Para consultar e verificar, localize a mensagem original no arquivo público do feed oss-sec, confira a data e a lista de versões afetadas e compare com as notas de versão oficiais do Godot. Para o seu ambiente, liste as versões do Godot em uso, atualize para uma release corrigida conforme indicado pelo fornecedor e trate arquivos .po de origem externa como entrada não confiável.