Typst 0.14.2 (12/12/2025)

Seguridad

Se actualizó el entorno de ejecución de WebAssembly que se usa para ejecutar plugins. La versión usada en Typst 0.14.0 y 0.14.1 tiene una vulnerabilidad de manejo de memoria. Según nuestra investigación, en la práctica la vulnerabilidad sería muy difícil de explotar, pero en teoría podría haber un exploit viable. De cualquier modo, recomendamos actualizar a Typst 0.14.2. Esto vale en particular para quienes usan Typst en local. En la app web el error no es crítico, porque el navegador ofrece una capa extra de protección.
Typst 0.13.1 y las anteriores no están afectadas por esta vulnerabilidad.
Detalles técnicos: Las versiones del entorno de ejecución de WebAssembly wasmi usadas en 0.14.0 y 0.14.1 tienen un error de manejo de memoria de tipo use-after-free en ciertas situaciones de crecimiento de memoria. En concreto, el error ocurre cuando el plugin intenta hacer crecer su memoria, pero falla la asignación de la cantidad pedida. Según nuestra investigación, el error es difícil de provocar en la práctica, porque la memoria lineal de WebAssembly está siempre limitada a 4 GB a nivel técnico y los sistemas operativos modernos rara vez fallan al atender una solicitud de asignación de 4 GB (normalmente ni siquiera con poca RAM). Y aun si se lo provoca, convertirlo en un exploit real seguiría siendo muy difícil. De todos modos, recomendamos actualizar a Typst 0.14.2 como protección ante un posible exploit.

Se agregó una sugerencia cuando array.sorted falla porque no se pudo comparar un par de elementos. Esta sugerencia ayuda a corregir errores en el código de usuario que quedaron expuestos por un cambio en el comportamiento interno de ordenamiento en Typst 0.14.1.

¡Gracias a todos los que contribuyeron a esta versión!