From 8701f5d45971552fea5cac7fb71be3031a3bf1d7 Mon Sep 17 00:00:00 2001
From: curry772 <curry772@gmail.com>
Date: Mon, 7 Sep 2026 16:08:48 +0900
Subject: [PATCH] =?UTF-8?q?=EB=B3=B4=EC=95=88=EC=84=B1=EC=8B=AC=EC=9D=98?=
 =?UTF-8?q?=20=EC=98=A4=ED=94=88=EC=86=8C=EC=8A=A4=20=EC=A1=B0=EC=B9=98?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

---
 build.gradle | 9 ++++++++-
 1 file changed, 8 insertions(+), 1 deletion(-)

diff --git a/build.gradle b/build.gradle
index 17a963b..1940620 100644
--- a/build.gradle
+++ b/build.gradle
@@ -51,7 +51,14 @@ dependencies {
 
     api 'commons-collections:commons-collections:3.2.2'
 
-	api 'org.apache.poi:poi-excelant:3.9'
+	// poi-excelant -> poi-ooxml -> dom4j:dom4j:1.6.1 (구 groupId) 전이 차단.
+	// 1.6.1 은 XXE(CVE-2020-10683) / XML 인젝션(CVE-2018-1000632) 대상이고,
+	// 소스의 org.dom4j 사용처(HttpClient*AdapterServiceRest 등의 SAXReader)는
+	// hibernate-envers 가 가져오는 org.dom4j:dom4j:2.1.3 과 패키지가 같아 그대로 동작한다.
+	// 두 jar 가 공존하면 WEB-INF/lib 로딩 순서에 따라 1.6.1 이 선택될 수 있으므로 제거한다.
+	api ('org.apache.poi:poi-excelant:3.9') {
+		exclude group: 'dom4j', module: 'dom4j'
+	}
 	
 	api group: 'org.apache.commons', name: 'commons-pool2', version: '2.11.1'
     api 'commons-codec:commons-codec:1.15'