CVE-2024-28243
CVE-2024-28243 · KaTeX's maxExpand bypassed by \edef
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
KaTeX is a JavaScript library for TeX math rendering on the web. KaTeX users who render untrusted mathematical expressions could encounter malicious input using `\edef` that causes a near-infinite loop, despite setting `maxExpand` to avoid such loops. This can be used as an availability attack, where e.g. a client rendering another user's KaTeX input will be unable to use the site due to memory overflow, tying up the main thread, or stack overflow. Upgrade to KaTeX v0.16.10 to remove this vulnerability.
CVSS 6.5 · Moyenne · EPSS 1,4% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system · node
Produits et versions concernés
katex
- Versions du logiciel
- >= 0.12.0, < 0.16.10: Concernée
Aucun correctif publié
node-katex Debian:12
- Versions du logiciel
- 0.16.10+~cs6.1.0-1
- 0.16.10+~cs6.1.0-2
- 0.16.10+~cs6.1.0-3
- 0.16.10+~cs6.1.0-4
- 0.16.10+~cs6.1.0-5
- 0.16.10+~cs6.1.0-6
- 0.16.10+~cs6.1.0-7
- 0.16.10+~cs6.1.0-8
- 0.16.10+~cs6.1.0-9
- 0.16.4+~cs6.1.0-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-katex Debian:13
- Plages de versions concernées
- ECOSYSTEM: < 0.16.10+~cs6.1.0-1
Mettez à jour vers 0.16.10+~cs6.1.0-1
node-katex Debian:14
- Plages de versions concernées
- ECOSYSTEM: < 0.16.10+~cs6.1.0-1
Mettez à jour vers 0.16.10+~cs6.1.0-1
katex npm
- Plages de versions concernées
- SEMVER: ≥ 0.12.0, < 0.16.10
Mettez à jour vers 0.16.10
node-katex Ubuntu:Pro:22.04:LTS
- Versions du logiciel
- 0.10.2+dfsg-8
- 0.10.2+dfsg-9
- 0.10.2+dfsg-10
- 0.13.11+~cs6.0.0-2
- Plages de versions concernées
- ECOSYSTEM: < 0.13.11+~cs6.0.0-2ubuntu0.1~esm1
Mettez à jour vers 0.13.11+~cs6.0.0-2ubuntu0.1~esm1