CVE-2024-28243

Versões do KaTeX anteriores à 0.16.10

O KaTeX é uma biblioteca JavaScript para renderização de fórmulas matemáticas em TeX na web. Usuários que renderizam expressões matemáticas não confiáveis podem se deparar com entradas maliciosas usando edef, o que causa um loop quase infinito, mesmo que maxExpand esteja configurado para evitar tais loops. Isso pode ser usado como um ataque de indisponibilidade, no qual um cliente que renderiza a entrada KaTeX de outro usuário ficará impossibilitado de usar o site devido a estouro de memória, bloqueio da thread principal ou estouro de pilha.

Atualize para o KaTeX v0.16.10 para remover essa vulnerabilidade.

Proíba entradas que contenham a subcadeia “edef” antes de passá-las para o KaTeX.

Como solução temporária, considere restringir o uso do comando edef no KaTeX até que um patch esteja disponível.