Spring WebFlux应用升级Reactor Netty修复CVE-2023-34062失败求助

我运行着一个基于Spring WebFlux的Spring Boot应用，运行正常，但希望升级Reactor Netty HTTP Server以修复CVE-2023-34062漏洞。我已在Maven POM文件中指定reactor-netty版本为1.1.13，但安全扫描流水线仍检测到应用使用的是1.1.12版本，请问我遗漏了什么？

Maven POM文件配置如下：

<dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-webflux</artifactId>
        </dependency>
        <dependency>
            <groupId>io.projectreactor.netty</groupId>
            <artifactId>reactor-netty</artifactId>
            <version>1.1.13</version>
        </dependency>
<dependencies>

• Spring Boot依赖管理优先级问题：Spring Boot的spring-boot-dependencies父POM会统一管控第三方依赖版本，你直接在<dependencies>块中指定reactor-netty版本不会生效，因为父POM的版本管理规则优先级更高。
• 正确的版本覆盖方式：需要在POM的<dependencyManagement>块中声明reactor-netty的目标版本，而不是单独添加依赖。修改后的配置示例：

<dependencyManagement>
    <dependencies>
        <dependency>
            <groupId>io.projectreactor.netty</groupId>
            <artifactId>reactor-netty</artifactId>
            <version>1.1.13</version>
        </dependency>
    </dependencies>
</dependencyManagement>

<dependencies>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-webflux</artifactId>
    </dependency>
    <!-- 无需单独添加reactor-netty依赖，webflux启动器会自动引入 -->
</dependencies>

• 验证版本生效情况：执行mvn dependency:tree命令，查看输出里reactor-netty的版本是否为1.1.13，确认版本覆盖成功。
• 额外提示：如果你的Spring Boot版本默认绑定的reactor-netty版本低于1.1.13，使用<dependencyManagement>覆盖是最稳妥的方式，可避免直接添加依赖引发的版本冲突问题。

内容的提问来源于stack exchange，提问作者James