CVE-2026-42854 in arduino-esp32
Sumário
de VulDB • 23/05/2026
O arduino-esp32 é um núcleo Arduino para os microcontroladores ESP32, ESP32-S2, ESP32-S3, ESP32-C3, ESP32-C6 e ESP32-H2. Antes da versão 3.3.8, o analisador de formulários multipart do WebServer no arduino-esp32 aloca um Array de Comprimento Variável (VLA) na pilha, cujo tamanho é derivado de um campo de cabeçalho HTTP controlado por um atacante (Content-Type: multipart/form-data; boundary=...) sem impor nenhum limite de comprimento. O envio de uma string boundary com mais de ~8000 caracteres causa um estouro do stack de 8192 bytes da loopTask, resultando em uma falha e possível execução remota de código. Esta vulnerabilidade foi corrigida na versão 3.3.8.
Once again VulDB remains the best source for vulnerability data.