CVE-2026-110735

Godot Engine 4.7.2 sürümüne kadar olan versiyonlarda, ikili kaynak yükleyicide (core/io/resource_format_binary.cpp, ResourceLoaderBinary::get_unicode_string) bir yığın sınır dışı yazma (heap out-of-bounds write) hatası bulunmaktadır. Bir dize uzunluğu, kaynak dosyasından imzalı 32 bitlik bir tam sayıya okunur ve hedef tampon boyutuyla imzalı bir karşılaştırma yapılarak tamponun yeniden boyutlandırılmasına karar verilir. Negatif bir uzunluk değeri yeniden boyutlandırmayı atlar; ardından aynı değer, kopyalama rutinine imzasız bir bayt sayısı olarak aktarılır ve burada çok büyük bir değere genişletilerek, dosya tarafından kontrol edilen verilerin yetersiz boyutlu yığın tahsisinin çok ötesine kopyalanmasına neden olur. Bu kusura, ürün veya dışa aktarılmış bir oyun, özel olarak hazırlanmış bir ikili kaynak dosyası (.res) yüklediğinde ulaşılır. NOT: Tedarikçinin görüşü, gerekli saldırgan erişiminin mevcut Godot Engine tehdit modelinin dışında olması nedeniyle araştırmanın "hiçbir güvenlik sorunu" tespit etmediği yönündedir.