CVE-2026-62966 in ESPAsyncWebServer
Zusammenfassung
von VulDB • 30.10.2026
ESPAsyncWebServer ist eine asynchrone HTTP- und WebSocket-Server-Bibliothek für ESP32, ESP8266, RP2040 und RP2350. Vor Version 3.11.2 gibt der Multipart-Parser in `src/WebRequest.cpp` `_itemBuffer` frei und setzt ihn auf NULL, wenn `BOUNDARY_OR_DATA` mit dem schließenden Trennzeichen eines Dateiteils übereinstimmt, bevor das folgende Terminator-Zeichen bestätigt wird, während `_itemIsFile` weiterhin true bleibt. Wenn das nächste Byte weder die abschließenden Bindestriche noch ein sauberes CRLF ist, führt der `DASH3_OR_RETURN2`- oder `EXPECT_FEED2`-Rewind-Zweig über `itemWriteByte` vorläufig verbrauchte Bytes erneut in den Puffer ein. Da `_itemIsFile` weiterhin true bleibt, schreibt `_itemBuffer[_itemBufferIndex++]` durch einen Nullzeiger. Auf ESP32 führt dies zu einer `StoreProhibited`-Ausnahme, einem Panic und einem Neustart des Geräts, was eine Remote-Denial-of-Service (DoS) zur Folge hat. Es muss ein Route mit einem nicht-trivialen Body-/Upload-Handler vorhanden sein, wie z. B. ein Datei-Upload- oder Web-OTA-Endpunkt. Dieses Problem wurde in Version 3.11.2 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.