关于Artifactory拦截commons-io 2.4导致Maven构建失败的疑问

核心问题拆解 #

针对你遇到的commons-io:2.4被XRAY-79102拦截的问题，分点解释如下：

• 为何上周才触发拦截？

  1. Xray漏洞规则库动态更新：JFrog会定期同步公开漏洞数据源，若commons-io:2.4的关联漏洞是近期才被纳入Xray规则库的，就会出现延迟拦截的情况。
  2. 扫描策略调整：你们团队可能在上周修改了Xray的扫描配置——比如开启了低版本依赖强制拦截、调高漏洞风险阈值，或是新增了特定组件的扫描规则。
  3. 依赖缓存因素：之前的构建可能使用了本地Maven仓库的commons-io:2.4缓存，上周缓存被清理或过期，触发从Artifactory的远程下载请求后，才被Xray实时扫描拦截。

• 是否与公开漏洞相关？
  是的，commons-io:2.4存在公开安全漏洞，比如CVE-2021-29425（目录遍历漏洞，攻击者可构造特殊路径读取任意文件）。XRAY-79102就是Xray针对这类漏洞生成的拦截规则ID，你可以直接在Xray控制台搜索该ID，查看对应的漏洞详情、影响范围和修复建议。

解决建议 #

1. 立即升级commons-io到最新稳定版本（推荐2.15.0及以上），这类版本已修复已知安全漏洞。
2. 登录Artifactory的Xray管理界面，查看XRAY-79102规则的生效时间和关联漏洞，确认规则触发的具体原因。
3. 清理本地Maven仓库中commons-io:2.4的缓存目录，避免后续构建再使用旧版本依赖。

内容的提问来源于stack exchange，提问作者Florent