Olá,
A biblioteca ModelMapper tem vulnerabilidades já registradas a partir do uso das dependências dele:
https://mvnrepository.com/artifact/org.modelmapper/modelmapper/3.1.1
Se ainda reparar, uma das dependências do ModelMapper é o famoso Dozer, que já foi depreciado e tinha objetivos semelhantes. No próprio github do Dozer diz que o projeto está inativo e sugere usar o ModelMapper, contudo é estranho que uma das dependências do ModelMapper seja justamente o próprio Dozer, ao qual se considera inativo.
No site oficial (site ainda sem HTTPS) do ModelMapper a licensa de copyright também já se expirou, e apesar de ainda ser um projeto muito ativo (última publicação em Dezembro do ano passado), ainda estão usando dependências com vulnerabilidades.
GitHub Dozer:
https://github.com/DozerMapper/dozer
Site ModelMapper:
http://modelmapper.org/