CVE-2026-110734
Godot Engine hasta la versión 4.7.2 incluida presenta una escritura fuera de límites en el montículo (heap) en el decodificador de imágenes Radiance HDR (.hdr) (modules/hdr/image_loader_hdr.cpp). El bucle de decodificación por longitud de series (RLE) expande las instrucciones RLE leídas del archivo en un búfer dimensionado a partir de las dimensiones de la imagen, sin validar que el recuento de repetición/copia de una instrucción quepa en la capacidad restante del búfer de fila.
Leer descripción completaMostrar menos
Por tanto, un archivo .hdr manipulado escribe bytes suministrados por el atacante más allá del final de la asignación de montículo, con la longitud y el contenido del desbordamiento controlados por el archivo. El defecto se alcanza automáticamente cuando el producto importa un archivo .hdr manipulado (por ejemplo, al abrir un proyecto que contenga uno), y en tiempo de ejecución en proyectos exportados que cargan imágenes .hdr no fiables. NOTA: la postura del proveedor es que la investigación no ha identificado "ningún problema de seguridad" porque el acceso requerido por el atacante queda fuera del modelo de amenazas actual de Godot Engine.
Traducción automática del texto original de NVD (en inglés).
CVSS
- Puntuación base
- 2.5
- Versión
- 3.1
- Vector
- CVSS:3.1/AV:L/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.15 %
- Percentil entre todas las CVEs puntuadas
- 4
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Técnicas ATT&CK
Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.
- Explotación
T1203Exploitation for Client Executionexecution85 %
Escritura fuera de límites en heap al importar un .hdr manipulado; requiere interacción (abrir proyecto) y el texto no menciona ejecución de comandos ni de código, así que no se asigna T1059.
Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.
Mitigaciones ATT&CK que cubren estas técnicas
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
CWE
- CWE-787
Referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-110734",
"cveTags": [
{
"tags": [
"disputed"
],
"sourceIdentifier": "cve@mitre.org"
}
],
"metrics": {
"ssvcV203": [
{
"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
"ssvcData": {
"id": "CVE-2026-110734",
"role": "CISA Coordinator",
"options": [
{
"exploitation": "none"
},
{
"automatable": "no"
},
{
"technicalImpact": "partial"
}
],
"version": "2.0.3",
"timestamp": "2026-10-14T17:42:31.644549Z"
}
}
],
"cvssMetricV31": [
{
"type": "Secondary",
"source": "cve@mitre.org",
"cvssData": {
"scope": "UNCHANGED",
"version": "3.1",
"baseScore": 2.5,
"attackVector": "LOCAL",
"baseSeverity": "LOW",
"vectorString": "CVSS:3.1/AV:L/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N",
"integrityImpact": "LOW",
"userInteraction": "REQUIRED",
"attackComplexity": "HIGH",
"availabilityImpact": "NONE",
"privilegesRequired": "NONE",
"confidentialityImpact": "NONE"
},
"impactScore": 1.4,
"exploitabilityScore": 1
}
]
},
"affected": [
{
"source": "cve@mitre.org",
"affectedData": [
{
"repo": "https://github.com/godotengine/godot",
"vendor": "godotengine",
"modules": [
"HDR image importer"
],
"product": "Godot Engine",
"versions": [
{
"status": "affected",
"version": "3.0.0",
"versionType": "semver",
"lessThanOrEqual": "4.7.2"
}
],
"programFiles": [
"modules/hdr/image_loader_hdr.cpp"
],
"defaultStatus": "unknown",
"programRoutines": [
{
"name": "ImageLoaderHDR::load_image"
}
]
}
]
}
],
"published": "2026-10-14T16:17:44.320",
"references": [
{
"url": "https://axeghost.offprint.app/a/3mvs6zo4blo23-three-memory-safety-bugs-in-godots-untrusted-file-parsers",
"source": "cve@mitre.org"
},
{
"url": "https://github.com/godotengine/godot/issues/123608",
"source": "cve@mitre.org"
},
{
"url": "http://www.openwall.com/lists/oss-security/2026/10/15/4",
"source": "af854a3a-2127-422b-91ae-364da2661108"
}
],
"vulnStatus": "Awaiting Analysis",
"weaknesses": [
{
"type": "Secondary",
"source": "cve@mitre.org",
"description": [
{
"lang": "en",
"value": "CWE-787"
}
]
}
],
"descriptions": [
{
"lang": "en",
"value": "Godot Engine through 4.7.2 has a heap out-of-bounds write in the Radiance HDR (.hdr) image decoder (modules/hdr/image_loader_hdr.cpp). The run-length decoding loop expands RLE instructions read from the file into a buffer sized from the image dimensions, without validating that an instruction's repeat/copy count fits the remaining capacity of the row buffer. A crafted .hdr file therefore writes attacker-supplied bytes past the end of the heap allocation, with the overflow length and content controlled by the file. The defect is reached automatically when the product imports a crafted .hdr (e.g., when opening a project containing one), and at runtime in exported projects that load untrusted .hdr images. NOTE: the Supplier's position is that the research has identified \"no security issues\" because the required attacker access is outside of the current Godot Engine threat model."
}
],
"lastModified": "2026-10-16T19:55:59.740",
"sourceIdentifier": "cve@mitre.org"
}