MyBatis 遠程代碼執(zhí)行漏洞（CVE-2020-26945）， 3.5.6版本之前的MyBatis錯誤處理對象流的反序列化，攻擊者通過此漏洞可以觸發(fā)遠程代碼執(zhí)行。
【問題場景】項目沒有直接依賴mybatis，使用的mybatis-plus，由于mybatis-plus的下級依賴包含了mybatis的3.5.2版本，故有此問題。
【解決方案】修改pom文件，排除mybatis-plus下級依賴。直接新增對mybatis的3.5.6的依賴

         <dependency>
            <groupId>com.baomidou</groupId>
            <artifactId>mybatis-plus-boot-starter</artifactId>
            <version>${mybatisplus.version}</version>
            <exclusions>
                <exclusion>
                    <groupId>com.baomidou</groupId>
                    <artifactId>mybatis-plus-generator</artifactId>
                </exclusion>
                <exclusion>
                    <groupId>org.mybatis</groupId>
                    <artifactId>mybatis</artifactId>
                </exclusion>
            </exclusions>
        </dependency>
        <dependency>
            <groupId>org.mybatis</groupId>
            <artifactId>mybatis</artifactId>
            <version>3.5.6</version>
        </dependency>

image.png