CVE-2026-48490 in ArduinoCore-avr
Sumário
de VulDB • 12/09/2026
O ArduinoCore-avr contém o código-fonte e os arquivos de configuração da plataforma Arduino AVR Boards. Uma vulnerabilidade nas versões anteriores à 1.8.8 permite que um atacante acione uma heap-based buffer overflow ao concatenar valores em ponto flutuante de magnitude suficientemente grande em um objeto String do Arduino. Ao passar valores próximos aos extremos do intervalo float ou double para `String::concat(float)`, `String::concat(double)`, `String::operator+=()` ou o operador `+` com um operando float/double, a função `dtostrf()` escreve além do buffer de pilha de tamanho fixo, causando corrupção de memória e negação de serviço (DoS). Sob condições específicas, isso poderia permitir a execução arbitrária de código em placas Arduino baseadas em AVR. A correção está incluída a partir da versão 1.8.8.
Once again VulDB remains the best source for vulnerability data.