使用具有测试依赖性漏洞的工件是否安全？
我正在尝试使用mvnrepository上的工件
https://mvnrepository.com/artifact/org.apache.commons/commons-collections4/4.4
正如你所看到的[测试依赖]，JUnit 4.12有一个漏洞，并有红色警告标志。
我已经通过Gradle下载了这个工件，并检查了外部库。我找到了那个绒球。commons-collections4上的xml实际上对JUnit 4.12具有测试依赖性。
使用具有测试依赖性漏洞的工件是否安全？
共有1个答案
-
< li >您看到“红色警告标志”只是因为< code>commons-collections在发布工件时暴露了许多关于其构建过程的信息 < li >手动检查依赖关系并不是一个好主意，OWASP为gradle和maven开发了一个很好的插件，不要把时间浪费在手动检查上
-
正如我们在新闻中看到的，针对流行的库报告了一个新的零日漏洞，该漏洞允许攻击者远程执行代码。在我们的应用程序中，我们仍然使用以下依赖项。 是否仅针对报告该问题？或适用于版本是否也是？是否有测试该漏洞的示例代码？
-
当应用程序中使用的库和框架等组件几乎总是以完全权限执行时，就会发生这种威胁。如果利用易受攻击的组件，则会使黑客的工作更容易导致严重的数据丢失或服务器接管。 让我们来了解这个漏洞的威胁代理，攻击向量，安全弱点，技术影响和业务影响。 威胁代理 - 使用自动化工具识别和利用的框架。 攻击者的方法 - 攻击者通过扫描或手动分析识别组件。 安全弱点 - 识别所使用的组件是否在应用程序的深处变得更加复杂。 如
-
问题内容： 依赖性分析程序通过控制代码中模块之间的依赖性来帮助我们组织代码。当一个模块是另一个模块的循环依赖项时，可以找到一种方法将其转变为单向依赖项或将两个模块合并为一个模块。 什么是针对Python代码的最佳依赖关系分析工具？ 问题答案： 我建议使用snakefood创建Python项目的图形依赖图。它可以很好地检测到依存关系，以立即查看要重构的区域。如果您阅读一些文档，它的用法非常简单。 当
-
我们的构建管道是- 然而，这意味着我们的工件包含了所有的开发依赖。如果我们执行，我们将失去devDependence，但是将失败。 我们如何生成一个没有依赖性的测试工件？我们是否只需要相信，我们的应用程序在测试完devdependency后，会在没有devdependency的情况下运行？ 额外问题：应如何适应此工作流？
-
我最近在Log4J中读到了关于0天问题的文章。我使用了一些应用程序，这些应用程序是用。NET的日志库，它使用基于Log4j的log4net日志库。 log4net是否存在与log4j的CVE-2021-44228漏洞类似的安全漏洞？
-
目前Log4j日志框架中存在漏洞。但是在我们的项目中，我们没有直接使用log4j依赖。我们通过org.apache.common.使用log4j......所以问题是它是否会受到影响。