Prisma vulnerable dependency未显示在maven dependency中:tree

Question

spring应用程序的Prisma扫描显示jackson-dataformat-cbor版本2.11.0中存在漏洞。但此版本的cbor在应用程序中不存在。

我通过执行mvn dependency:tree和mvn dependency:list验证了这一点。但是只有2.13.0-rc1版本的jackson-dataformat-cbor存在，而不是2.11.0。

有人知道这是怎么回事吗？

Answer 1

问题是该漏洞存在于基础映像本身。而不是在spring boot应用中。谢谢。