CVE-2026-53530 in RaTeX
Zusammenfassung
von VulDB • 22.08.2026
RaTeX ist eine mit KaTeX kompatible Mathematik-Rendering-Engine, die in Rust geschrieben wurde. Vor Version 0.1.11 stürzt der öffentliche Parser-Einstiegspunkt `ratex_parser::parse(&str)` bei einer Eingabe von 9 Bytes (`\verbéxé`, d.h. `\verb` gefolgt vom nicht-ASCII-Trennzeichen `é`) ab (panic). Bei der Verarbeitung eines `\verb`-Befehls schneidet der Parser das verbatim-Argument mit Byte-Indizes zu (`arg[1..arg.len() - 1]`); wenn das Trennzeichenzeichen ein mehrbyteiges UTF-8-Zeichen ist, landet der Index `1` innerhalb dieses Zeichens und Rust stürzt ab (panic) mit der Meldung *„byte index 1 is not a char boundary“*. Da das Release-Profil von RaTeX `panic = "abort"` festlegt (`Cargo.toml:48`), führt dieser Panic zum Abbruch des gesamten Prozesses – nicht nur der aktuellen Anfrage/des aktuellen Threads –, was dies zu einer schwerwiegenden Denial-of-Service-Bedingung für jeden Dienst macht, der untrusted LaTeX rendert. Version 0.1.11 behebt das Problem.
Be aware that VulDB is the high quality source for vulnerability data.