为何maven 有些包这老旧也不更新,而且还是有高危的包

[damonflycloud]

为何maven 有些包这老旧也不更新,而且还是有高危的包,例如okhttp 包 ,项目还是用的3.x的版本, 这个版本有高危漏洞的,官方难道就不准备升级一下么

[zqfan]

当时选这个版本是因为继续往上升级有兼容性问题，并且看https://mvnrepository.com/artifact/com.squareup.okhttp3/okhttp 这里并未标记此版本有风险，麻烦贴一下看到的高危漏洞链接哈，我们看下怎么处理

[damonflycloud]

如图所示,这个版本的okhttp会存在[CVE-2023-3635](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-3635) 漏洞

[sanyecao2314]

同问，这些官方能否升级掉