Maven 依赖项中未显示 Prisma 易受攻击的依赖项：树

Question

Spring Boot 应用程序的 Prisma 扫描显示 jackson-dataformat-cbor 版本 2.11.0 中存在漏洞。 但是这个版本的 cbor 不存在于应用程序中。

我通过执行mvn dependency:tree和mvn dependency:list验证了这一点。 但是只有 2.13.0-rc1 版本的 jackson-dataformat-cbor 存在，而不是 2.11.0。

有没有人对此有任何想法？

Answer 1

问题在于该漏洞存在于基础映像本身中。 不在 spring boot 应用程序中。 谢谢。