ClojureScript 存在一个已知漏洞（CVE-2015-5237）的级联依赖项。

Question

ClojureScript 依赖于旧版本的 com.google.javascript/closure-compiler-unshaded (v20180805)，该版本依赖于已知漏洞的 com.google.protobuf/protobuf-java (3.0.2) 版本。

记录在 https://clojure.atlassian.net/browse/CLJS-3208

Answer 1

在 ClojureScript >= 1.10.741 中修复

Answer 2

注：我很好奇哪种扫描软件发现了漏洞

Comments

https://github.com/rm-hull/lein-nvd