https://mvnrepository.com/artifact/commons-fileupload/commons-fileupload/1.4 中的“漏洞”有什么意义？

Question

在这里，我需要搜索不易受攻击的最新版本的依赖项，但是当我导航到 maven 存储库页面https://mvnrepository.com/artifact/commons-fileupload/commons-fileupload/1.4时，我看到还有写在下面的漏洞漏洞部分。 我处于两难境地，这是否表明给定版本的漏洞已解决或仍然存在。 请明确此版本是否易受攻击？

 <:-- https.//mvnrepository.com/artifact/commons-fileupload/commons-fileupload --> <dependency> <groupId>commons-fileupload</groupId> <artifactId>commons-fileupload</artifactId> <version>1.4</version> </dependency>

快照-->

Answer 1

在commons-fileupload FILEUPLOAD-347中报告了问题

依赖项有两个漏洞：

• junit 上的一个 - 它不会传播给最终用户
• 第二 - 这取决于commons-fileupload是否使用来自commons-io方法FileNameUtils.normalize - 来检查源代码

最好的方法是在项目跟踪问题中关注和/或提出此类问题。