升级Fasterxml jackson-databind至2.14.0-rc1时的依赖漏洞处理问题

问题1：未修改Camel Fm的pom.xml，如何处理camel-jackson依赖的jackson-databind漏洞？ #

有两种可行方案，优先推荐第一种：

• 直接在项目根pom的dependencyManagement中锁定安全版本：不用修改Camel Fm的pom，直接在自己项目的<dependencyManagement>节点里声明com.fasterxml.jackson.core:jackson-databind的安全版本（需选择修复了CVE-2022-42003、CVE-2022-42004的版本，比如2.13.4.2及以上）。Maven会强制所有依赖链中的组件使用这个版本，覆盖camel-jackson原本依赖的旧版本。
• 升级camel-jackson版本：如果camel-jackson的新版本已经内置了修复漏洞的jackson-databind版本，可以直接在项目pom中升级camel-jackson的版本。但需要确认新版本和现有代码的兼容性，避免引入新问题。

问题2：无法使用插件或第三方软件，如何排查依赖jackson-databind的组件？ #

直接使用Maven内置的命令即可，无需额外工具：

• 执行Maven命令：mvn dependency:tree -Dincludes=com.fasterxml.jackson.core:jackson-databind
• 命令输出会展示所有依赖jackson-databind的组件路径，其中标注[compile]的就是编译依赖的组件。你可以通过输出的层级关系，找到哪些第三方组件（比如Camel Fm的camel-jackson）是间接引入jackson-databind的源头。

内容的提问来源于stack exchange，提问作者sonar one