Sohom Datta

**Name of the Vulnerable Software and Affected Versions** Go versions prior to 1.21 **Description** The issue is related to the improper handling of backticks (`) as Javascript string delimiters in templates, which can lead to the injection of arbitrary Javascript code into the Go template. This occurs when a Go template action is used within a Javascript template literal. The decision was made to disallow Go template actions from being used inside Javascript template literals due to the complexity of ES6 template literals and the potential for string interpolation. With the fix, Template.Parse returns an Error when it encounters templates like this. **Recommendations** For versions prior to 1.21, users can re-enable the previous behavior using the GODEBUG flag jstmpllitinterp=1, but this should be used with caution as backticks will now be escaped. It is recommended to update to Go 1.21 or later to resolve the issue. As a temporary workaround, consider avoiding the use of Go template actions within Javascript template literals to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** Google Chrome versions prior to 111.0.5563.64 Microsoft Edge (affected versions not specified) **Description** The issue is related to insufficient policy enforcement in the Resource Timing API, which can be exploited by a remote attacker to obtain potentially sensitive information. This can be achieved through a specially crafted HTML page. The estimated number of potentially affected devices is not provided. **Recommendations** For Google Chrome versions prior to 111.0.5563.64, update to version 111.0.5563.64 or later to resolve the issue. For Microsoft Edge, at the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Nome do software vulnerável e versões afetadas** Versões do jpeg-js anteriores à 0.4.4 **Descrição** A vulnerabilidade permite um ataque de Negação de Serviço (DoS), no qual uma determinada entrada faz com que o programa entre em um loop infinito e nunca retorne. **Recomendações** Para versões anteriores à 0.4.4, atualize para a versão 0.4.4 ou posterior para resolver o problema.

**Nome do software vulnerável e versões afetadas** Versões do Firefox anteriores à 100 **Descrição** A API de desempenho do Firefox não ocultava adequadamente se uma solicitação de recurso entre origens diferentes havia sofrido redirecionamentos, levando a uma possível divulgação de informações. Esse problema pode permitir que um invasor remoto obtenha acesso não autorizado a informações protegidas. **Recomendações** Para versões anteriores à 100, atualize para a versão 100 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso a informações confidenciais até que a atualização seja aplicada.

**Nome do software vulnerável e versões afetadas** Versões do Google Chrome anteriores à 100.0.4896.60 Microsoft Edge (versões afetadas não especificadas) **Descrição** O problema está relacionado a uma implementação inadequada na API Resource Timing, que pode ser explorada por um invasor remoto para vazar dados entre origens por meio de uma página HTML maliciosa. Isso pode permitir que um invasor obtenha acesso não autorizado a informações protegidas. **Recomendações** Para versões do Google Chrome anteriores à 100.0.4896.60, atualize para a versão 100.0.4896.60 ou posterior para resolver o problema. Para o Microsoft Edge, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.