En nuestro proyecto pom.xml usamos flying-saucer-pdf-itext5 versión 9.1.22, que depende de itextpdf versión 5.5.12. Nuestra canalización falla debido a un paso de OWASP que se queja de itextpdf relacionado con este problema de seguridad: https://nvd.nist.gov/vuln/detail/CVE-2021-43113

sin embargo, este problema menciona que

iTextPDF en iText anterior a 7.1.17 permite la inyección de comandos a través de un nombre de archivo CompareTool que se maneja mal en la línea de comandos gs (también conocido como Ghostscript) en GhostscriptHelper.java.

que supongo que está relacionado con esta dependencia: itext7-core

No usamos esta dependencia directamente y tampoco puedo encontrarla en las dependencias de itextpdf.

Excluí el itextpdf 5.5.12 de flying-saucer-pdf-itext5 y agregué la versión más reciente 5.5.13.2 pero el problema persiste.

¿Alguna idea de dónde debo buscar esta dependencia y cómo resolver este problema de seguridad?