在哪里可以找到 JSTL 版本 1.2.3 或更高版本？

Question

我在我的应用程序中使用 jstl-1.1.2 jar。 Veracode 显示使用此标签库的高漏洞。 Veracode 显示 1.2.3 之前版本的漏洞。在我的研究中，我只能找到 1.2 版。这个 jar 有 1.2.3 版本吗？或者有什么办法可以修复这个漏洞？

我有哪些选择？请提出建议。

我的 Maven 依赖项如下所示：

<dependency>
    <groupId>javax.servlet</groupId>
    <artifactId>jstl</artifactId>
    <version>1.1.2</version>
</dependency>

Answer 1

Maven 存储库显示 v.1.2 可用（2011 年 6 月 23 日）：

<!-- https://mvnrepository.com/artifact/javax.servlet/jstl -->
<dependency>
    <groupId>javax.servlet</groupId>
    <artifactId>jstl</artifactId>
    <version>1.2</version>
</dependency>

此外，JSTL 已移至另一个地方，v.1.2（2015 年 5 月 14 日）

<!-- https://mvnrepository.com/artifact/javax.servlet.jsp.jstl/jstl -->
<dependency>
    <groupId>javax.servlet.jsp.jstl</groupId>
    <artifactId>jstl</artifactId>
    <version>1.2</version>
</dependency>

同样，Maven 仓库显示v.1.2.5 for taglibs 可用：

<!-- https://mvnrepository.com/artifact/org.apache.taglibs/taglibs-standard-impl -->
<dependency>
    <groupId>org.apache.taglibs</groupId>
    <artifactId>taglibs-standard-impl</artifactId>
    <version>1.2.5</version>
</dependency>

因此，只有标记库可以更新到 v.1.2.5 以缓解this vulnerability：

此软件包的受影响版本容易受到 XML 外部实体 (XXE) 注入的攻击。 1.2.3 之前的 Apache Standard Taglibs 允许远程攻击者通过 或 JSTL XML 标记中精心设计的 XSLT 扩展执行任意代码或进行外部 XML 实体 (XXE) 攻击。