CVE-2026-48490

ArduinoCore-avr, Arduino AVR Boards platformasının mənbə kodu və konfiqurasiya fayllarını ehtiva edir. 1.8.8 versiyasından əvvəlki versiyalardakı bir boşluq, kifayət qədər böyük kəmiyyətli onluq kəsr dəyərləri Arduino String obyektinə birləşdirilərkən hücumçunun stek əsaslı bufer daşmasını tetikləməsinə şərait yaradır. `String::concat(float)`, `String::concat(double)`, `String::operator+=()` funksiyalarına və ya float/double operandlı `+` operatoruna float və ya double diapazonunun ekstremumlarına yaxın dəyərlər ötürülərkən, `dtostrf()` sabit ölçülü stek buferindən kənara yazır ki, bu da yaddaşın korlanmasına və xidmətdən imtinaya səbəb olur. Müəyyən şərtlər daxilində bu, AVR əsaslı Arduino lövhələrində ixtiyari kodun icrasına imkan verə bilər. Düzəliş `1.8.8` versiyasından etibarən əlavə edilmişdir.