CVE-2026-110734

Godot Engine 4.7.2 sürümüne kadar olan versiyonlarda, Radiance HDR (.hdr) görüntü çözücüde (modules/hdr/image_loader_hdr.cpp) bir heap sınır dışı yazma (heap out-of-bounds write) zafiyeti bulunmaktadır. Çalışma uzunluğu (run-length) kod çözme döngüsü, dosyadan okunan RLE talimatlarını, görüntünün boyutlarına göre belirlenen bir arabelleğe genişletirken; bir talimatın tekrarla/kopyala sayısının satır arabelleğinin kalan kapasitesine uygun olup olmadığını doğrulamamaktadır. Bu nedenle, özel olarak hazırlanmış bir .hdr dosyası, taşma uzunluğu ve içeriği dosya tarafından kontrol edilerek saldırgan tarafından sağlanan baytların heap tahsisinin sonuna yazılmasına neden olur. Kusura, ürün özel hazırlanmış bir .hdr dosyasını içe aktardığında (örneğin, böyle bir dosya içeren bir proje açıldığında) otomatik olarak veya güvenilmeyen .hdr görüntülerini yükleyen dışa aktarılmış projelerde çalışma zamanında ulaşılır. NOT: Tedarikçinin görüşü, gerekli saldırgan erişiminin mevcut Godot Engine tehdit modelinin dışında olması nedeniyle araştırmanın "hiçbir güvenlik sorunu" tespit etmediği yönündedir.