CWE 117 продолжает помечать, хотя этот код должен это исправить

Question

У меня есть следующий код регистрации:

private static org.apache.commons.logging.Log log = org.apache.commons.logging.LogFactory.getLog(Factory.class);



log.warn(Utils.replaceCRLFWithUnderscore("Unexpected subelement " +
                            reader.getLocalName()));

Утилита выглядит следующим образом:

public static String replaceCRLFWithUnderscore(String toEncode) {
    // ensure no CRLF injection into logs for forging records
    return toEncode.replace('\n', '_').replace('\r', '_');
}