PT-2025-27254 · Unknown · Espasyncwebserver

Jlleitschuh · Publicado 2025-06-27 · Atualizado 2025-06-28 · CVE-2025-53094

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas: Versões do ESPAsyncWebServer até e incluindo a 3.7.8

Descrição: Existe uma vulnerabilidade de injeção CRLF na construção e saída de cabeçalhos HTTP no AsyncWebHeader.cpp. Entradas não sanitizadas permitem que atacantes injetem caracteres CR (r) ou LF ( ) em nomes ou valores de cabeçalho, levando à manipulação arbitrária de cabeçalhos ou respostas. Isso pode possibilitar uma ampla gama de ataques.

Recomendações: Para as versões até e incluindo a 3.7.8, aplique a correção disponível no pull request 211, que deve fazer parte da versão 3.7.9. Como solução alternativa temporária, considere restringir a entrada no AsyncWebHeader.cpp para evitar injeções de caracteres CR e LF até que o patch seja aplicado.

Exploit

Correção

Enumeração de Fraquezas

CWE-113

CWE-93

Identificadores relacionados

BDU:2025-15912

CVE-2025-53094

GHSA-87J8-6F7G-H8WH

Produtos afetados

Espasyncwebserver

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/53xxx/CVE-2025-53094.json · Exploit
• https://github.com/ESP32Async/ESPAsyncWebServer/security/advisories/GHSA-87j8-6f7g-h8wh · Nota
• https://github.com/ESP32Async/ESPAsyncWebServer/pull/211 · Nota
• https://github.com/ESP32Async/ESPAsyncWebServer/blob/1095dfd1ecf1a903aede29854232af1b24f089b1/src/AsyncWebHeader.cpp#L6-L32 · Nota
• https://osv.dev/vulnerability/CVE-2025-53094 · Aviso do Fabricante
• https://t.me/cvetracker/27271 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2025-15912 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2025-53094 · Nota de Segurança
• https://twitter.com/CVEnew/status/1938693139088183334 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1938860842780340487 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1938691258655871029 · Publicação no Twitter