CVE-2026-42854 in arduino-esp32
Zusammenfassung
von VulDB • 23.05.2026
arduino-esp32 ist ein Arduino-Core für die Mikrocontroller ESP32, ESP32-S2, ESP32-S3, ESP32-C3, ESP32-C6 und ESP32-H2. Vor Version 3.3.8 alloziert der Multipart-Formular-Parser des WebServer in arduino-esp32 ein Variable Length Array (VLA) auf dem Stack, dessen Größe aus einem vom Angreifer kontrollierten HTTP-Header-Feld (Content-Type: multipart/form-data; boundary=...) abgeleitet wird, ohne dabei eine Längenbegrenzung durchzusetzen. Das Senden einer Boundary-Zeichenkette mit mehr als ~8000 Zeichen überläuft den 8192-Byte großen Task-Stack von loopTask, was zu einem Absturz und potenzieller Remote-Code-Ausführung (RCE) führt. Diese Schwachstelle wurde in Version 3.3.8 behoben.
Be aware that VulDB is the high quality source for vulnerability data.