یک آسیب‌پذیری امنیتی با شناسه CVE-2026-88389 در نسخه‌ی 2v29 (commit bffc6d0) از سیستم Espruino شناسایی شده است. این نقص امنیتی از نوع NULL pointer dereference است و در تابع jslGetRawString() در فایل src/jslex.c رخ می‌دهد.
جزئیات فنی آسیب‌پذیری
بر اساس تحلیل‌های صورت گرفته، یک مهاجم می‌تواند با ارسال ورودی‌های دست‌کاری شده (Crafted) در قالب رشته‌های باینری یا خام، باعث شود Lexer یک هدف NULL iterator را به تابع jsvLockAgain() ارسال کند.
تاثیر و پیامدها
- فساد حافظه: در نسخه‌های RELEASE/NO_ASSERT، به دلیل نبود مکانیزم‌های حفاظتی (Assertion Guard)، این نقص اجازه می‌دهد عملیات نوشتن از طریق یک NULL pointer انجام شود که منجر به Memory Corruption می‌گردد.
- از دسترس خارج شدن سرویس: نتیجه نهایی این تداخل در حافظه، بسته شدن ناگهانی برنامه (Application Termination) و ایجاد وضعیت Denial of Service (DoS) است.
