Veille sécuritéFrontend
P4Faible
KaTeX pouvait interpréter des propriétés héritées comme des options de rendu, notamment `trust`, si le prototype de l’objet d’options ou `Object.prototype` était pollué. Des expressions mathématiques contrôlées pouvaient alors produire des liens susceptibles de provoquer du XSS après interaction ou charger des ressources externes, si la sortie n’était pas assainie.
JavaScript
IdentifiantCVE-2026-103923
GravitéFaible
Exploitationnon connue / non déterminée
Correctif0.18.2
Source : GHSA-238p-pmpm-9mq7 — KaTeX: Existing prototype pollution can bypass trust restrictions
Analyse technique
Le correctif ajoute des vérifications de propriété propre pour les options du renderer, les métadonnées de paramètres et les espaces de noms.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-05T23:41:05Z, soit le 2026-10-06T01:41:05+02:00, dans la période demandée.
ImpactDans les conditions décrites, une application consommant KaTeX peut produire du contenu HTML comportant des liens dangereux ou charger des ressources externes.
Versions affectées>= 0.11.0, < 0.18.2
Version corrigée0.18.2
ContournementCorriger toute source de pollution de prototype, ne pas laisser l’entrée non fiable contrôler l’objet d’options et assainir le HTML généré. L’avis recommande aussi de supprimer certaines propriétés héritées (`trust`, `default`, `processor`) avant l’appel à KaTeX.
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,30% · percentile 21,1%
Publication2026-10-06T01:41:05+02:00
Mise à jour2026-10-06T01:41:06+02:00
Action recommandée
Mettre à niveau vers KaTeX 0.18.2 ou une version ultérieure et appliquer les mesures de contournement si la mise à niveau n’est pas possible.
Sources
Priorisation DFS : P4 · 1 source(s).