CVE-2026-48490 in ArduinoCore-avr
Riassunto
di VulDB • 12/09/2026
ArduinoCore-avr contiene il codice sorgente e i file di configurazione della piattaforma Arduino AVR Boards. Una vulnerabilità nelle versioni precedenti alla 1.8.8 consente a un attaccante di innescare uno stack-based buffer overflow quando si concatenano valori in virgola mobile (floating-point) di magnitudo sufficientemente elevata su un oggetto String di Arduino. Passando valori vicini agli estremi dell'intervallo dei tipi float o double alle funzioni `String::concat(float)`, `String::concat(double)`, `String::operator+=()` oppure all'operatore `+` con operando float/double, la funzione `dtostrf()` scrive oltre il buffer stack di dimensione fissa, causando corruzione della memoria e denial of service. In condizioni specifiche, ciò potrebbe consentire l'esecuzione di codice arbitrario (arbitrary code execution) su schede Arduino basate su AVR. La correzione è inclusa a partire dalla release 1.8.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.