Motoyasu Saburi

**Name of the Vulnerable Software and Affected Versions** Oracle Java SE versions 11.0.19, 17.0.7, 20.0.1 Oracle GraalVM Enterprise Edition versions 20.3.10, 21.3.6, 22.3.2 Oracle GraalVM for JDK versions 17.0.7, 20.0.1 **Description** The issue is related to the Networking component of the affected software, allowing an unauthenticated attacker with network access via multiple protocols to compromise the system. Successful attacks require human interaction from a person other than the attacker and can result in unauthorized update, insert, or delete access to some accessible data. This vulnerability applies to Java deployments in clients running sandboxed Java Web Start applications or sandboxed Java applets that load and run untrusted code and rely on the Java sandbox for security. **Recommendations** For Oracle Java SE version 11.0.19, update to a newer version to mitigate the risk. For Oracle Java SE version 17.0.7, update to a newer version to mitigate the risk. For Oracle Java SE version 20.0.1, update to a newer version to mitigate the risk. For Oracle GraalVM Enterprise Edition version 20.3.10, update to a newer version to mitigate the risk. For Oracle GraalVM Enterprise Edition version 21.3.6, update to a newer version to mitigate the risk. For Oracle GraalVM Enterprise Edition version 22.3.2, update to a newer version to mitigate the risk. For Oracle GraalVM for JDK version 17.0.7, update to a newer version to mitigate the risk. For Oracle GraalVM for JDK version 20.0.1, update to a newer version to mitigate the risk. As a temporary workaround, consider restricting access to the Networking component until a patch is available.

**Nome do software vulnerável e versões afetadas** Versões do Django 3.2 a 3.2.14 Versões do Django 4.0 a 4.0.6 **Descrição** Foi descoberta uma falha na classe HTTP FileResponse. O aplicativo está vulnerável a um ataque de download de arquivo refletido (RFD) que define o cabeçalho Content-Disposition de um FileResponse quando o nome do arquivo é derivado de uma entrada fornecida pelo usuário. Isso poderia permitir que um invasor remoto acessasse dados confidenciais, comprometesse sua integridade e causasse uma negação de serviço. **Recomendações** Para as versões 3.2 a 3.2.14 do Django, atualize para a versão 3.2.15 ou posterior. Para as versões 4.0 a 4.0.6 do Django, atualize para a versão 4.0.7 ou posterior. Como solução temporária, considere validar e sanitizar as entradas fornecidas pelo usuário para nomes de arquivos, a fim de prevenir ataques de download de arquivo refletido.