一、 漏洞 CVE-2025-4211 基础信息
漏洞信息
                                        # Windows中QFileSystemEngine在文件访问前的链接解析不当问题

## 概述
QFileSystemEngine在Qt核心库模块中存在一个链接解析不当（“链路跟随”）漏洞，该漏洞可能允许符号链接攻击和恶意文件的利用。该漏洞源于CVE-2024-38081，涉及在Windows上的GetTempPath API的使用，攻击者可以利用此API来操纵临时文件路径，从而可能导致未经授权的访问和特权提升。

## 影响版本
- 所有Qt版本至5.15.18
- 6.0.0至6.5.8
- 6.6.0至6.8.1

已修复版本：
- Qt 5.15.19
- Qt 6.5.9
- Qt 6.8.2
- Qt 6.9.0

## 细节
漏洞起源于Qt框架中`QDir::tempPath()`的使用，以及使用该API的所有功能，如`QStandardPaths`中的TempLocation、`QTemporaryDir`和`QTemporaryFile`。攻击者可以利用API来操纵临时文件路径，从而导致符号链接攻击和恶意文件利用。

## 影响
该漏洞可能导致未经授权的文件访问和特权提升。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Improper Link Resolution Before File Access in QFileSystemEngine on Windows
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Improper Link Resolution Before File Access ('Link Following') vulnerability in QFileSystemEngine in the Qt corelib module on Windows which potentially allows Symlink Attacks and the use of Malicious Files. Issue originates from CVE-2024-38081. The vulnerability arises from the use of the GetTempPath API, which can be exploited by attackers to manipulate temporary file paths, potentially leading to unauthorized access and privilege escalation. The affected public API in the Qt Framework is QDir::tempPath() and anything that uses it, such as QStandardPaths with TempLocation, QTemporaryDir, and QTemporaryFile.This issue affects all version of Qt up to and including 5.15.18, from 6.0.0 through 6.5.8, from 6.6.0 through 6.8.1. It is fixed in Qt 5.15.19, Qt 6.5.9, Qt 6.8.2, 6.9.0
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
在文件访问前对链接解析不恰当(链接跟随)
来源：美国国家漏洞数据库 NVD
漏洞标题
Qt 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Qt是Qt开源的一个跨平台的应用程序开发框架。 Qt 5.15.18及之前版本、6.0.0至6.5.8版本和6.6.0至6.8.1版本存在安全漏洞，该漏洞源于链接解析不当，可能导致符号链接攻击和使用恶意文件。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-4211 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2025-4211 的情报信息