Vulnerabilidad en KaTeX (CVE-2024-28243)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

25/03/2024

Última modificación:

05/12/2025

Descripción

KaTeX es una librería de JavaScript para la representación matemática de TeX en la web. Los usuarios de KaTeX que renderizan expresiones matemáticas que no son de confianza podrían encontrar entradas maliciosas usando `\edef` que causan un bucle casi infinito, a pesar de configurar `maxExpand` para evitar dichos bucles. Esto puede usarse como un ataque de disponibilidad, donde, por ejemplo, un cliente que procesa la entrada KaTeX de otro usuario no podrá usar el sitio debido a un desbordamiento de memoria, atar el hilo principal o desbordamiento de la pila. Actualice a KaTeX v0.16.10 para eliminar esta vulnerabilidad.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto