从mvnrepository中可以看到,JFinal依赖的jackson最高版本号为:2.8.11.1
此版本的jackson存在“远程代码执行漏洞”,详情如下:
https://cloud.tencent.com/developer/article/1593615
建议提高jackson的依赖版本
此外,jfinal 并未依赖 jackson, 只是用于编译。所以用户在使用 jfinal 的时候并不会自动引入 jackson 依赖
谢谢反馈