Grails - Apache Commons Collection уязвимость

Question

Что касается следующей найденной уязвимости в библиотеке Викисклада коллекций,

https://www.kb.cert.org/vuls/id/576313

Я обнаружил, что пострадавшая версия 3.2.1 втягивается в спящий режим (3.6.10.18) в проекте Grails у меня работает 2.5.5. Означает ли это использование библиотеки угрозу для уязвимости. Должен ли я импортировать исправленную версию (3.2.2) в качестве прямой зависимости для смягчения любой вероятности экспозиции?

Answer 1

Этот уязвимый класс (InvokerTransformer) никогда не использовался в кодовой базе Grails, и я не вижу обстоятельств, когда эта уязвимость может быть использована в приложении Grails.

Тем не менее вы можете, конечно, обновление до 3.2.2 только можно указать зависимость в вашем BuildConfig.groovy или build.gradle файл