Grails - Apache Commons Collection 漏洞

【问题标题】：Grails - Apache Commons Collection vulnerabilityGrails - Apache Commons Collection 漏洞
【发布时间】：2017-01-30 23:02:30
【问题描述】：

关于在 commons-collections 库中发现的以下漏洞，

我发现受影响的 3.2.1 版本在我在 2.5.5 下运行的 Grails 项目中被拉入休眠 (3.6.10.18)。库的这种使用在暴露漏洞方面是否构成任何威胁。我是否应该将修补后的版本 (3.2.2) 作为直接依赖项导入以减少任何暴露的机会？

【问题讨论】：

【解决方案1】：

有问题的易受攻击的类 (InvokerTransformer) 从未在 Grails 代码库中使用过，而且我没有看到可以在 Grails 应用程序中利用此漏洞的情况。

当然，您当然可以升级到 3.2.2，只需在 BuildConfig.groovy 或 build.gradle 文件中指定依赖项

【讨论】：