Provides transitive vulnerable dependency org.yaml:snakeyaml:1.33

忘是亡心i 2023-09-30 18:39 13阅读 0赞

### 一、错误介绍 ###

新创建了一个`springboot3`的项目，弹出警告。

<parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>3.0.1</version>
        <relativePath/> 
    </parent>

Provides transitive vulnerable dependency org.yaml:snakeyaml:1.33

这段报错的意思是：`snakeyaml`是一个脆弱的传递依赖。

SpringBoot2.x 用的是 1.30 版本，SpringBoot3.x 用的是 1.33 版本，尽管已经升级了版本，但是 1.33 版本仍然存在漏洞。  
![介绍][781f0b7db2744187951012ac674ef12d.png]  
截止到 2022-12-13 日，`snakeyaml` 仍未修复该漏洞。

### 二、解决方法 ###

解决方法也很简单，既然该依赖项不安全存在漏洞，那我们就不用它，排除它。只需要排除该依赖项即可，如下：

<dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter</artifactId>
        <exclusions>
            <exclusion>
                <groupId>org.yaml</groupId>
                <artifactId>snakeyaml</artifactId>
            </exclusion>
        </exclusions>
    </dependency>

[781f0b7db2744187951012ac674ef12d.png]: https://img-blog.csdnimg.cn/781f0b7db2744187951012ac674ef12d.png

发表评论取消回复

表情：

评论列表（有 0 条评论，13人围观）

还没有评论，来说两句吧...

相关阅读

相关 Web Application Vulnerability Scanners

Vulnerability Scanning Tools Description Web Application Vulnerability Scanners ar

亦凉/ 2023年10月05日 09:16/ 0 赞/ 17 阅读

相关 Provides transitive vulnerable dependency org.yaml:snakeyaml:1.33

一、错误介绍新创建了一个`springboot3`的项目，弹出警告。 <parent> <groupId>org.springframewor

忘是亡心i/ 2023年09月30日 18:39/ 0 赞/ 14 阅读

相关 transition

transition中的四个属性 transition-property：规定设置过渡效果的 CSS 属性的名称。 transition-duration：规定完

我会带着你远行/ 2023年07月18日 14:05/ 0 赞/ 16 阅读

相关 133. 克隆图

题目给你无向连通图中一个节点的引用，请你返回该图的深拷贝（克隆）。图中的每个节点都包含它的值 val（int）和其邻居的列表（list\[Node\]）。

红太狼/ 2022年11月27日 00:55/ 0 赞/ 175 阅读

相关 is invalid, transitive dependencies (if any) will not be available解决方案

问题描述 maven项目在编译的时候报如下WARNING： \[WARNING\] The POM for com.winwill.test:0.0.1-SNAPSHOT

ゞ浴缸里的玫瑰/ 2022年05月11日 14:36/ 0 赞/ 204 阅读

相关 java面试 - maven dependency中provided和compile的区别

对于scope=compile的情况（默认scope),也就是说这个项目在编译，测试，运行阶段都需要这个artifact对应的jar包在classpath中。而对于scope=

今天药忘吃喽~/ 2022年03月20日 15:14/ 0 赞/ 599 阅读

相关 133. Clone Graph

Given a reference of a node in a connected undirected graph, return a deep copy (clo

Dear 丶/ 2022年02月15日 14:21/ 0 赞/ 152 阅读

相关 maven dependency中scope=compile 和 provided区别

转自：http://supercharles888.blog.51cto.com/609344/981316 问题再现：上次这边朋友问我一个问题，就是他们在pom.xml

深碍√TFBOYSˉ_/ 2022年01月22日 04:45/ 0 赞/ 248 阅读

相关 Maven Learning - Direct Dependencies & Transitive Dependencies

Dependencies declared in your project's pom.xml file often have their own dependencies.

骑猪看日落/ 2021年12月24日 13:27/ 0 赞/ 264 阅读

相关 We found potential security vulnerabilities in your dependencies. Only the owner of this reposito...

删除package-lock.json并同步到git 定义的依赖项./package-lock.json具有已知的安全漏洞找到一个叫做.gitignore，把packag

你的名字/ 2021年09月29日 23:16/ 0 赞/ 66 阅读