آسیب‌پذیری جدیدی با شناسه CVE-2026-16659 در مکانیزم بازیابی سریال (serial-recovery) پروژه MCUboot شناسایی شده است. این نقص امنیتی که دارای سطح شدت متوسط (Medium) است، در تابع bs_upload() واقع در فایل boot/boot_serial/src/boot_serial.c قرار دارد.
تحلیل فنی نشان می‌دهد که در این تابع، یک اشاره‌گر از نوع const struct flash_area *fap مقدار اولیه NULL دریافت می‌کند و تنها در میانه اجرای تابع، از طریق فراخوانی flash_area_open() مقداردهی می‌شود. با این حال، در صورت بروز خطا در مراحل اولیه اعتبارسنجی (Validation) — مانند شکست در رمزگشایی نقشه CBOR یا ناقص بودن بسته‌های ارسالی (missing off/data members) — برنامه از مسیرهای شرطی (goto out_invalid_data) عبور کرده و بدون اینکه اشاره‌گر fap مقداردهی شود، به بخش پایانی (epilogue) تابع می‌رود.
در نسخه‌هایی که با پیکربندی MCUBOOT_ENC_IMAGES ساخته شده‌اند، بخش پایانی تابع به‌صورت بدون قید و شرط تابعی را فراخوانی می‌کند که از این اشاره‌گر NULL استفاده می‌کند؛ این امر می‌تواند منجر به بروز رفتار نامشخص یا توقف سیستم (Crash) شود.
