CVE-2026-53530 in RaTeX
Resumen
por VulDB • 2026-08-21
RaTeX es un motor de renderizado matemático compatible con KaTeX, escrito en Rust. Antes de la versión 0.1.11, el punto de entrada del analizador público `ratex_parser::parse(&str)` provoca una panic (interrupción no controlada) ante la entrada de 9 bytes `\verbéxé` (es decir, `\verb` seguido del delimitador no ASCII `é`). Al procesar un comando `\verb`, el analizador recorta el argumento verbatim utilizando índices de byte (`arg[1..arg.len() - 1]`); si el carácter delimitador es UTF-8 multibyte, el índice `1` cae dentro de ese carácter y Rust provoca una panic con el mensaje *"byte index 1 is not a char boundary"*. Dado que el perfil de compilación (release profile) de RaTeX establece `panic = "abort"` (`Cargo.toml:48`), la panic aborta todo el proceso, no solo la solicitud o hilo actual, lo que constituye una denegación de servicio grave para cualquier servicio que renderice LaTeX no confiable. La versión 0.1.11 corrige este problema.
Once again VulDB remains the best source for vulnerability data.