Не удалось найти основную причину CVE-2020-13956.

Question

Я запускаю приложение для весенней загрузки с родителем ниже

      <dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-parent</artifactId>
    <version>2.4.2.RELEASE</version>
    <type>pom</type>
</dependency>

В нашей организации есть твистлок-сканирование. Он просканирует созданный нами образ докера и сообщит об уязвимостях в образе докера.

Когда я создал образ докера для своего приложения и отсканировал его с помощью сканирования твистлок. Я обнаружил ниже уязвимость.

Но я увидел эффективный pom своего приложения, и я обнаружил, что мое приложение использует указанную ниже зависимость, которая не является уязвимой.

      org.apache.httpcomponents_httpclient 4.5.13

Я также отсканировал свой базовый образ из dockerhub, и он также не содержит уязвимостей. Я не уверен, откуда взялась эта уязвимость?