Vulnerabilidad en ESPAsyncWebServer (CVE-2025-53094)
Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-93
Neutralización incorrecta de secuencias de retornos de carro y saltos de linea (CRLF)
Fecha de publicación:
27/06/2025
Última modificación:
30/06/2025
Descripción
ESPAsyncWebServer es una librería de servidor HTTP y WebSocket asíncrono para ESP32, ESP8266, RP2040 y RP2350. En versiones hasta la 3.7.8 (incluida), existe una vulnerabilidad de inyección CRLF (Carriage Return Line Feed) en la construcción y salida de encabezados HTTP dentro de `AsyncWebHeader.cpp`. La entrada no depurada permite a los atacantes inyectar caracteres CR (`\r`) o LF (`\n`) en los nombres o valores de los encabezados, lo que provoca la manipulación arbitraria de encabezados o respuestas. La manipulación de encabezados y respuestas HTTP puede permitir una amplia gama de ataques, lo que aumenta la gravedad de esta vulnerabilidad. Hay una solución disponible en la solicitud de incorporación de cambios 211 y se espera que forme parte de la versión 3.7.9.
Impacto
Puntuación base 4.0
8.70
Gravedad 4.0
ALTA