提供可传递的易受攻击的依赖项

[jidaojiuyou]

版本信息

• IJPay 版本: 2.9.4
• 开发环境: mac
• 支付方式: 支付宝
• 调用的接口: 无

报错信息 （注意格式化）

无

问题描述（包括回显步骤、截图 ）

支付宝支付的依赖提供了有漏洞的依赖dom4j:dom4j:1.6.1和org.bouncycastle:bcprov-jdk15on:1.62。依赖包含数个安全漏洞。

CVE-2020-10683 9.8 Improper Restriction of XML External Entity Reference vulnerability pending CVSS allocation
CVE-2018-1000632 7.5 XML Injection (aka Blind XPath Injection) vulnerability pending CVSS allocation
CVE-2020-10683 9.8 Improper Restriction of XML External Entity Reference vulnerability pending CVSS allocation
CVE-2018-1000632 7.5 XML Injection (aka Blind XPath Injection) vulnerability pending CVSS allocation
CVE-2019-17359 7.5 Allocation of Resources Without Limits or Throttling vulnerability pending CVSS allocation
CVE-2020-15522 5.9 Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') vulnerability pending CVSS allocation
Cxa9261daf-3755 9.8 Vulnerability with high severity found

建议使用新的依赖。org.dom4j:dom4j:2.1.4和org.bouncycastle:bcprov-jdk15on:1.69

预期效果描述

使用新版本的dom4j

交流群

• IJPay 让支付触手可及交流群：723992875、864988890
• TNWX 微信系开发脚手架交流群：114196246

[Javen205]

已处理过，感谢反馈