7085

**Nome do software vulnerável e versões afetadas** Versões do KaTeX anteriores à 0.16.10 **Descrição** O KaTeX é uma biblioteca JavaScript para renderização matemática TeX na web. O código que utiliza a opção `trust` do KaTeX pode ser enganado por URLs em entradas maliciosas que utilizam caracteres maiúsculos no protocolo, permitindo que entradas maliciosas gerem links `javascript:` na saída. Esse problema ocorre porque o KaTeX não normalizou a entrada `protocol` do objeto `context` fornecido a uma função `trust` especificada pelo usuário, que poderia ser uma mistura de letras minúsculas e/ou maiúsculas. **Recomendações** Atualize para o KaTeX v0.16.10 para remover essa vulnerabilidade. Como solução temporária, considere usar uma lista de permissões em vez de uma lista de bloqueio de protocolos em sua função `trust`. Converta manualmente `context.protocol` para letras minúsculas usando `context.protocol.toLowerCase()` antes de tentar verificar determinados protocolos. Evite usar ou desative a opção `trust`.

**Name of the Vulnerable Software and Affected Versions** fast-xml-parser versions prior to 4.2.4 **Description** The issue allows special characters in entity names, which are not escaped or sanitized. This can be abused for denial of service (DoS) attacks by crafting an entity name that results in an intentionally bad performing regex, causing the parser to stall for an indefinite amount of time. **Recommendations** For versions prior to 4.2.4, upgrade to version 4.2.4 or later. For users unable to upgrade, avoid using DOCTYPE parsing by setting the `processEntities: false` option.