‹ Volver al listado

CVE-2026-110736

Estado: Pendiente de análisisBaja (3.6)—
Gravedad3.6Baja · CVSS 3.1
Probabilidad de explotación0.14 %mayor que el 3 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

Godot Engine hasta la versión 4.7.2 incluida tiene una lectura fuera de límites en el cargador optimizado de traducciones (core/string/optimized_translation.cpp, OptimizedTranslation::get_message). Los desplazamientos leídos de la tabla hash de un recurso .translation manipulado se usan como índices en la tabla de buckets sin validación de límites; solo se rechaza un único valor centinela. Un archivo manipulado puede hacer que un índice apunte muy por encima del búfer asignado.

Leer descripción completaMostrar menos

Según los valores, el resultado es un bloqueo o que una búsqueda de cadenas (tr()) devuelva como cadena traducida bytes sin procesar de otra zona del montón del proceso, revelando la memoria del proceso. El defecto se alcanza cuando el producto o un juego exportado carga un archivo de traducción manipulado y realiza búsquedas en él. NOTA: el proveedor sostiene que la investigación no ha identificado "ningún problema de seguridad" porque el acceso de atacante necesario queda fuera del modelo de amenazas actual de Godot Engine.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
3.6
Versión
3.1
Vector
CVSS:3.1/AV:L/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:L

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.14 %
Percentil entre todas las CVEs puntuadas
3
Fecha de la puntuación
20/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vector AV:L con UI:R: el usuario debe cargar un .translation manipulado; la lectura fuera de límites devuelve bytes del heap como cadena traducida, revelando memoria del proceso.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Application Isolation and SandboxingExploit ProtectionUpdate SoftwareData Loss Prevention

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Godotengine — Godot EngineAI

CWE

Referencias

Mostrar las 4 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-110736",
  "cveTags": [
    {
      "tags": [
        "disputed"
      ],
      "sourceIdentifier": "cve@mitre.org"
    }
  ],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-110736",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "poc"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-15T14:06:55.514452Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "cve@mitre.org",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 3.6,
          "attackVector": "LOCAL",
          "baseSeverity": "LOW",
          "vectorString": "CVSS:3.1/AV:L/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:L",
          "integrityImpact": "NONE",
          "userInteraction": "REQUIRED",
          "attackComplexity": "HIGH",
          "availabilityImpact": "LOW",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "LOW"
        },
        "impactScore": 2.5,
        "exploitabilityScore": 1
      }
    ]
  },
  "affected": [
    {
      "source": "cve@mitre.org",
      "affectedData": [
        {
          "repo": "https://github.com/godotengine/godot",
          "vendor": "godotengine",
          "modules": [
            "Translation system"
          ],
          "product": "Godot Engine",
          "versions": [
            {
              "status": "affected",
              "version": "1.0.0",
              "versionType": "semver",
              "lessThanOrEqual": "4.7.2"
            }
          ],
          "programFiles": [
            "core/string/optimized_translation.cpp"
          ],
          "defaultStatus": "unknown",
          "programRoutines": [
            {
              "name": "OptimizedTranslation::get_message"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-14T16:17:44.607",
  "references": [
    {
      "url": "https://axeghost.offprint.app/a/3mvs6zo4blo23-three-memory-safety-bugs-in-godots-untrusted-file-parsers",
      "source": "cve@mitre.org"
    },
    {
      "url": "https://github.com/godotengine/godot/issues/123608",
      "source": "cve@mitre.org"
    },
    {
      "url": "http://www.openwall.com/lists/oss-security/2026/10/15/2",
      "source": "af854a3a-2127-422b-91ae-364da2661108"
    },
    {
      "url": "https://axeghost.offprint.app/a/3mvs6zo4blo23-three-memory-safety-bugs-in-godots-untrusted-file-parsers",
      "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "cve@mitre.org",
      "description": [
        {
          "lang": "en",
          "value": "CWE-1285"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Godot Engine through 4.7.2 has an out-of-bounds read in the optimized translation loader (core/string/optimized_translation.cpp, OptimizedTranslation::get_message). Offsets read from the hash table of a crafted .translation resource are used as indices into the bucket table without bounds validation; only a single sentinel value is rejected. A crafted file can point an index far past the allocated buffer. Depending on the values, the result is a crash, or a string lookup (tr()) returns raw bytes from elsewhere in the process heap as the translated string, disclosing process memory. The defect is reached when the product or an exported game loads and performs lookups in a crafted translation file. NOTE: the Supplier's position is that the research has identified \"no security issues\" because the required attacker access is outside of the current Godot Engine threat model."
    }
  ],
  "lastModified": "2026-10-16T19:55:59.740",
  "sourceIdentifier": "cve@mitre.org"
}