<div dir="auto"><div>MIN.</div><div dir="auto">Thank you for posting the results of your security scan. Good reminder to upgrade to V4. Much appreciated</div><div dir="auto">C</div><div dir="auto"><br><div class="gmail_quote" dir="auto"><div dir="ltr" class="gmail_attr">On Wed, Jun 17, 2020, 6:09 AM MIN ZHU <<a href="mailto:minmin3772@gmail.com">minmin3772@gmail.com</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr">Hi shibboleth developers,<div><br></div><div><div>    I am using opensaml-security-api Java lib in my project. As shown in MavenRepository, the latest version is 3.4.5. (<a href="https://mvnrepository.com/artifact/org.opensaml/opensaml-security-api/3.4.5" target="_blank" rel="noreferrer">https://mvnrepository.com/artifact/org.opensaml/opensaml-security-api/3.4.5</a>)</div><div><br></div><div>    Then I ran a vulnerability check and found that there are two known vulnerability in the dependencies: </div><div>    - org.cryptacular:cryptacular.    Denial of Service.    (Affected version: [1.0,1.1.4) || [1.2.0,1.2.4) ). (<a href="https://snyk.io/vuln/SNYK-JAVA-ORGCRYPTACULAR-543303" target="_blank" rel="noreferrer">https://snyk.io/vuln/SNYK-JAVA-ORGCRYPTACULAR-543303</a>)</div><div>    - org.apache.santuario:xmlsec.     XML External Entity (XXE) Injection.   (Affected version: [2.0.3, 2.1.4) ). (<a href="https://snyk.io/vuln/SNYK-JAVA-ORGAPACHESANTUARIO-460281" target="_blank" rel="noreferrer">https://snyk.io/vuln/SNYK-JAVA-ORGAPACHESANTUARIO-460281</a>)</div><div><br></div><div>    This is dependency tree of opensaml-security-api:</div><div><br></div><div></div><div>        +- org.opensaml:opensaml-security-api:jar:3.4.5:compile<br>        |  +- org.opensaml:opensaml-core:jar:3.4.5:compile<br>        |  |  +- joda-time:joda-time:jar:2.9:compile<br>        |  |  \- io.dropwizard.metrics:metrics-core:jar:4.1.7:compile<br>        |  +- org.opensaml:opensaml-messaging-api:jar:3.4.5:compile<br>        |  +- org.apache.santuario:xmlsec:jar:2.0.10:compile<br>        |  |  \- com.fasterxml.woodstox:woodstox-core:jar:5.0.3:compile<br>        |  |     \- org.codehaus.woodstox:stax2-api:jar:3.1.4:compile<br>        |  +- org.cryptacular:cryptacular:jar:1.1.3:compile<br>        |  +- net.shibboleth.utilities:java-support:jar:7.5.1:compile<br>        |  \- commons-codec:commons-codec:jar:1.14:compile<br></div><div><br></div><div>    May I know if you had any plan on these security issues?</div><div><br></div><div>    Thank you for your great work !</div><div><br></div><div>Best regards, MIN</div></div></div>
-- <br>
To unsubscribe from this list send an email to <a href="mailto:dev-unsubscribe@shibboleth.net" target="_blank" rel="noreferrer">dev-unsubscribe@shibboleth.net</a><br>
</blockquote></div></div></div>