Prisma 易受攻击的依赖项未在 Maven 依赖项中显示：树

Question

对 Spring Boot 应用程序的 Prisma 扫描显示 jackson-dataformat-cbor 版本 2.11.0 中存在漏洞。但是这个版本的 cbor 在应用程序中不存在。

我通过mvn dependency:tree 和mvn dependency:list 验证了这一点。但是只有 2.13.0-rc1 版本的 jackson-dataformat-cbor 存在，不是 2.11.0。

有人对此有任何想法吗？

Answer 1

问题在于漏洞存在于基础映像本身中。不在 Spring Boot 应用程序中。谢谢。