如何修復 selenium:htmlunit-driver:3.62.0 中的漏洞（CVE-2022-34169）。 它來自 Xalan Java » 2.7.2 作為直接漏洞

Question

如何修復 selenium:htmlunit-driver:3.62.0 中的漏洞（CVE-2022-34169）。 它來自 Xalan Java » 2.7.2 作為直接漏洞

我們在空手道框架中使用 org.seleniumhq.selenium:htmlunit-driver:3.62.0。 Whitesource 掃描正在捕獲這個來自 xalan 的漏洞

2.7.2 是 Xalan 的最新版本，我們沒有任何更新的版本。 有沒有辦法解決它？

任何幫助，將不勝感激

Answer 1

據我所知，目前沒有可用的特定修復程序，但您可以嘗試通過使用不同版本的selenium:htmlunit-driver來緩解漏洞。

注意：Apache Xalan 項目預計不會發布固定版本，該項目將被淘汰。 由於 integer 截斷問題，在處理惡意 XSLT 樣式表時，此 package 容易受到任意代碼執行的影響。 這將允許攻擊者破壞由內部 XSLTC 編譯器生成的 Java class 文件並執行任意 Java 字節碼。 因此，您可以考慮像Apache Santuario和interSystem IRIS這樣的替代品，后者是最好的替代品。