fix(deps): update dependency cn.hutool:hutool-all to v5.8.21 [security]

[renovate]

This PR contains the following updates:

Package	Change	Age	Confidence
cn.hutool:hutool-all (source)	5.8.9 → 5.8.21

---

Dromara hutool vulnerable to SQL Injection

CVE-2023-24163 / GHSA-6c25-cxcc-pmc4

More information

Details

SQL Inection vulnerability in Dromara hutool v5.8.11 allows attacker to execute arbitrary code via the aviator template engine.

Severity

• CVSS Score: 9.8 / 10 (Critical)
• Vector String: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

References

• https://nvd.nist.gov/vuln/detail/CVE-2023-24163
• https://gitee.com/dromara/hutool/issues/I6AJWJ#note_15801868
• https://github.com/dromara/hutool/issues/3149
• https://github.com/google/osv.dev/issues/2195
• https://gitee.com/dromara/hutool/issues/I6AJWJ#note_20057806_link
• https://github.com/dromara/hutool/releases/tag/5.8.21
• https://github.com/advisories/GHSA-6c25-cxcc-pmc4

This data is provided by the GitHub Advisory Database (CC-BY 4.0).

---

Release Notes

chinabugotech/hutool (cn.hutool:hutool-all)

v5.8.21

Compare Source

🐣新特性

• 【core 】 list 为空时，CollUtil.max等返回null而非异常（pr#1027@​Gitee）
• 【poi 】 ExcelReader.getWriter逻辑变更，当从非文件读取时，获取sheet，而非空表格。
• 【core 】 Ipv4Util 新增方法：检测指定 IP 地址是否匹配通配符（pr#3171@​Github）
• 【core 】 DateUtil.parse适配6位毫秒格式（issue#I7H34N@​Gitee）
• 【core 】 RandomUtil增加可选是否包含边界的重载（issue#3182@​Github）
• 【core 】 StrUtil增加truncateByByteLength方法（pr#3176@​Github）
• 【core 】 身份证工具类isValidCard18、isValidCard15入参null直接返回null（pr#1034@​Gitee）
• 【http 】 使用multiparty方式支持body参数（issue#3158@​Github）
• 【core 】 ZipReader增加setMaxSizeDiff方法，自定义或关闭ZipBomb（issue#3018@​Github）
• 【db 】 Query.of(entity)构建时传入fields（issue#I7M5JU@​Gitee）
• 【db 】 clickhouse驱动名称变更为com.clickhouse.jdbc.ClickHouseDriver（issue#3224@​Github）
• 【core 】 UrlResource增加size方法（issue#3226@​Github）

🐞Bug修复

• 【core 】 修复MapUtil工具使用filter方法构造传入参数结果问题（issue#3162@​Github）
• 【core 】 修复序列化和反序列化Class问题（issue#I7FQ29@​Gitee）
• 【setting】 修复utf8-bom的setting文件读取问题（issue#I7G34E@​Gitee）
• 【core 】 修复PathUtil.getMimeType可能造成的异常（issue#3179@​Github）
• 【core 】 修复Pair序列化转换无效问题（issue#I7GPGX@​Github）
• 【core 】 修复TypeUtil.getTypeArgument对实现接口获取不全面问题（issue#I7CRIW@​Gitee）
• 【core 】 修复BeanUtil.isCommonFieldsEqual判空导致的问题
• 【extra 】 修复CompressUtil.createArchiver 将文件压缩为tgz时文件名规则无效问题（issue#I7LLL7@​Gitee）
• 【core 】 修复脱敏银行卡号长度bug（pr#3210@​Github）
• 【jwt 】 修复JWTSignerUtil中ES256签名不符合规范问题（issue#3205@​Github）
• 【core 】 修复UserInfo获取country问题（issue#I7MCKW@​Gitee）
• 【extra 】 修复MVEL加载错误问题（issue#3214@​Github）
• 【json 】 修复JSONBeanParser在遇到List时没有被正确递归问题（issue#I7M2GZ@​Gitee）
• 【core 】 修复VersionComparator对1.0.3及1.0.2a比较有误的问题（pr#1043@​Gitee）
• 【core 】 修复IOS系统下，chrome 浏览器的解析规则有误（pr#1044@​Gitee）
• 【extra 】 修复多线程下Sftp中Channel关闭的问题（issue#I7OHIB@​Gitee）
• 【extra 】 修复CVE-2023-24163漏洞（issue#I6AJWJ@​Gitee）

---

v5.8.20

Compare Source

🐣新特性

• 【core 】 UrlQuery增加setStrict方法，区分是否严格模式（issue#I78PB1@​Gitee）
• 【poi 】 添加系列方法writeCol，以支持按列输出（pr#1003@​Gitee）
• 【core 】 CollUtil新增anyMatch和allMatch方法（pr#1008@​Gitee）
• 【core 】 CsvWriter如果开启了append=true，默认自动开启endingLineBreak=true（pr#1010@​Gitee）

🐞Bug修复

• 【core 】 修复TreeUtil.getParentsName()获取到的路径集合中存在值为null的路径名称问题（issue#I795IN@​Gitee）
• 【core 】 修复umberUtil.parseNumber对+解析问题（issue#I79VS7@​Gitee）
• 【core 】 修复IdcardUtil.getGenderByIdCard存在潜在的异常（pr#1007@​Gitee）
• 【core 】 修复Table#contains空指针问题（issue#3135@​Gitee）
• 【core 】 修复FileUtil.checkSlip方法缺陷（issue#3140@​Github）
• 【extra 】 修复Sftp中exists方法父目录不存在时报错（issue#I7CSQ9@​Gitee）
• 【extra 】 修复xml转json再转bean失败问题（issue#3139@​Github）
• 【poi 】 修复RowUtil传入参数错误问题（issue#3139@​Github）
• 【core 】 修复XmlUtil.xmlToBean空节点转换失败问题（issue#3136@​Github）
• 【core 】 修复CVE-2023-3276漏洞，XmlUtil.readBySax问题（issue#I7DX8W@​Gitee）

---

v5.8.19

🐣新特性

• 【db 】 优化HttpRequest.toString()内容打印（issue#3072@​Github）
• 【poi 】 优化Sax方式读取时空白行返回0，修改为返回-1（issue#I6WYF6@​Gitee）
• 【db 】 优化count查询兼容informix（issue#I713XQ@​Gitee）
• 【core 】 去除Opt头部的GPL协议头（pr#995@​Gitee）
• 【core 】 邮箱校验添加对中文的支持（pr#997@​Gitee）
• 【core 】 FileUtil.getMimeType增加webp识别（pr#997@​Gitee）
• 【core 】 SyncFinisher增加setExceptionHandler方法（issue#I716SX@​Gitee）
• 【core 】 FileTypeUtil.getType增加文件判断（pr#3112@​Github）
• 【core 】 增加CsvWriteConfig.setEndingLineBreak配置项（issue#I75K5G@​Gitee）
• 【core 】 增加Tailer追踪文件时文件被删除的处理情况（pr#3115@​Github）
• 【core 】 DelegatedExecutorService构造方法设置成public（issue#I77LUE@​Gitee）
• 【core 】 切面代理工具中的cglib支持多参数构造生成（issue#I74EX7@​Gitee）
• 【poi 】 添加writeCellValue的重载，以支持isHeader（pr#1002@​Gitee）

🐞Bug修复

• 【core 】 修复URLUtil.decode无法解码UTF-16问题（issue#3063@​Github）
• 【db 】 修复insertOrUpdate更新中条件字段没有移除问题（issue#I6W91Z@​Gitee）
• 【core 】 修复VIN（车架号）正则问题（pr#3078@​Github）
• 【core 】 修复HtmlUtil的removeHtmlAttr方法匹配问题（issue#I6YNTF@​Gitee）
• 【core 】 修复JSONUtil.toBean目标存在Map字段无序问题（issue#I6YN2A@​Gitee）
• 【http 】 修复HttpDownloader.downloadFile 方法缺少static问题（issue#I6Z8VU@​Gitee）
• 【core 】 修复NumberUtil mul 传入null的string入参报错问题（issue#I70JB3@​Gitee）
• 【core 】 修复ZipReader.get调用reset异常问题（issue#3099@​Github）
• 【core 】 修复FileUtil.createTempFile可能导致的漏洞（issue#3103@​Github）
• 【cron 】 修复SystemTimer无法结束进程问题（issue#3090@​Github）
• 【core 】 修复BeanUtil.copyToList复制Long等类型错误问题（issue#3091@​Github）
• 【poi 】 修复MapRowHandler结果Map无序问题（issue#I71SE8@​Github）
• 【db 】 修复SqlExecutor.execute执行ORACLE insert into select报ORA-00933问题（issue#I778U7@​Gitee）
• 【db 】 修复AbstractDb#page分页查询异常问题（issue#I73770@​Gitee）

---

v5.8.18

🐣新特性

• 【extra 】 JschUtil新增一个重载方法以支持私钥以byte数组形式载入（pr#3057@​Github）
• 【crypto】 优化MD5性能（issue#I6ZIQH@​Gitee）

🐞Bug修复

• 【core 】 修复CollUtil.reverseNew针对非可变列表异常（issue#3056@​Github）
• 【all 】 修复junit被关联引入的bug（issue#3062@​Github）

---

v5.8.17

🐣新特性

• 【core 】 SerializeUtil.deserialize增加白名单类，避免RCE vulnerability（issue#3021@​Github）
• 【poi 】 ExcelWriter在关闭后不清空currentRow，以便复用（issue#3025@​Github）
• 【core 】 完善HttpStatus，参考相关规范，补全缺失的状态码（pr#968@​Gitee）
• 【core 】 NumberUtil增加（pr#968@​Gitee）
• 【core 】 Number128增加hash和equals方法（pr#968@​Gitee）
• 【core 】 NamingCase.toCamelCase新增重载，可选是否转换其他字符为小写（issue#3031@​ithub）
• 【core 】 新增JdkUtil
• 【core 】 DateUtil.getZodiac增加越界检查（issue#3036@​Github）
• 【core 】 CsvReader修改策略，添加可选是否关闭Reader重载，默认不关闭Reader（issue#I6UAX1@​Gitee）
• 【core 】 isNotEmpty修改规则，避开IDEA错误提示（pr#974@​Gitee）

🐞Bug修复

• 【core 】 CollUtil.split优化切割列表参数判断，避免OOM（pr#3026@​Github）
• 【core 】 修复FileUtil.move传入相同目录或子目录丢失源目录的问题（pr#3032@​Github）
• 【core 】 修复SafeConcurrentHashMap.computeIfAbsent可能存在的结果为null的情况（issue#I6RVMY@​Gitee）
• 【json 】 修复Pair反序列化报错问题（issue#I6SZYB@​Gitee）
• 【core 】 修复使用AnnotationUtil.getAnnotationAlias获取注解时可能会出现空指针的问题（pr#975@​Gitee）
• 【json 】 修复没有属性的对象转json字符串抛异常问题（issue#3051@​Github）

---

v5.8.16

🐣新特性

• 【core 】 改进Calculator.conversion，兼容乘法符号省略写法（issue#2964@​Github）
• 【core 】 改进XmlUtil.xmlToBean，支持xml转bean时父节点忽略大小写
• 【core 】 优化ArrayUtil的空判断（pr#2969@​Github）
• 【extra 】 优化SpringUtil在非Spring环境下的异常（issue#2835@​Github）
• 【core 】 StrUtil增加commonPrefix和commonSuffix方法（pr#3007@​Github）
• 【core 】 NumberUtil增加重载parseXXX方法, 解析失败返回默认值（pr#3007@​Github）
• 【core 】 FileUtil增加readLines重载，支持filter（pr#3006@​Github）
• 【json 】 当用户选择ignoreError时，错误对象转JSON也忽略

🐞Bug修复

• 【crypto】 修复NoSuchMethodError未捕获问题（issue#2966@​Github）
• 【poi 】 修复SXSSFWorkbook调用setComment时错位的问题（issue#I6MBS5@​Gitee）
• 【core 】 修复BeanUtil.hasGetter没有跳过getClass方法的问题（issue#I6MBS5@​Gitee）
• 【core 】 修复FileMagicNumber长度判断问题导致的越界异常（issue#I6MACI@​Gitee）
• 【core 】 修复DateUtil针对ISO8601时间格式部分场景下的解析存在问题（issue#2981@​Github）
• 【core 】 修复JSONUtil.toBean可能的空指针问题（issue#2987@​Github）
• 【core 】 修复CalendarUtil.isSameMonth没有判断公元前导致不一致的问题（issue#3011@​Github）
• 【core 】 修复WatchUtil createModify maxDepth传递后没有使用问题（issue#3005@​Github）
• 【core 】 修复NullComparator反转无效问题（pr#964@​Gitee）
• 【setting】 修复props.toBean 数组字段未赋值问题（issue#3008@​Github）

---

v5.8.15

Compare Source

🐣新特性

• 【http 】 新增followRedirectsCookie配置，支持开启自动重定向携带cookie（pr#2961@​Github）

🐞Bug修复

• 【all 】 修复Automatic-Module-Name错误问题（issue#2952@​Github）
• 【core 】 修复NumberWithFormat导致转换Long异常问题（issue#I6L2LO@​Gitee）

---

v5.8.14

Compare Source

🐣新特性

• 【core 】 增加PathMover（issue#I666HB@​Github）

🐞Bug修复

• 【core 】 修复FileUtil.moveContent会删除源目录的问题（issue#I666HB@​Github）
• 【http 】 修复HttpBase.body导致的空指针问题

---

v5.8.13

Compare Source

🐣新特性

• 【core 】 PhoneUtil.isTel400800支持400-XXX-XXXX格式（issue#2929@​Github）
• 【core 】 build(pom): 添加 Automatic-Module-Name属性（pr#2926@​Github）
• 【core 】 根据JDK-8080225修改了部分新建文件输入流和文件输出流的创建方式（pr#2930@​Github）
• 【http 】 HttpRequest#body增加支持Resource重载（issue#2901@​Github）
• 【core 】 JavaSourceCompiler#compile增加自定义options重载（issue#I6IVZK@​Gitee）

🐞Bug修复

• 【db 】 修复识别JDBC驱动时重复问题（pr#940@​Gitee）
• 【core 】 修复法定年龄计算的BUG（pr#935@​Gitee）
• 【core 】 修复FileUtil.rename报NoSuchFileException问题（pr#2894@​Github）
• 【core 】 修复StrUtil.split切分长度为0时的bug（pr#944@​Gitee）
• 【core 】 修复ReUtil.delAll方法当 content 仅为空格时的问题（issue#I6GIMT@​Gitee）
• 【core 】 修复ReUtil.delAll方法当 content 仅为空格时的问题（issue#I6GIMT@​Gitee）
• 【core 】 修复文件内容跟随在调用stop后，文件依旧被占用问题（issue#I6GFD2@​Gitee）
• 【core 】 修复ReflectUtil.invokeRaw方法中参数类型转换动作未生效的问题（pr#2912@​Github）
• 【core 】 修复isXXX转换时的匹配问题（issue#I6H0XF@​Gitee）
• 【core 】 修复MutableObj.equals空指针问题
• 【core 】 修复JavaSourceFileObject在编译错误时抛出IOException异常而非CompilerException问题（pr#2942@​Github）
• 【jwt 】 修复JWT自定义时间格式后的时间戳转换问题（issue#I6IS5B@​Gitee）

---

v5.8.12

Compare Source

🐣新特性

• 【http 】 HttpGlobalConfig.allowPatch()调用时忽略错误（issue#2832@​Github）
• 【core 】 重构根据file magic number判断文件类型（pr#2834@​Github）
• 【core 】 增加WGS84 坐标与墨卡托投影互转（pr#2811@​Github）
• 【extra 】 ServletUtil遵循rfc 3986优化（issue#I6ALAO@​Gitee）
• 【http 】 HttpUtil.decodeParams增加isFormUrlEncoded重载（pr#918@​Gitee）
• 【db 】 AbstractDb添加返回类型为PageResult的page重载方法（pr#916@​Gitee）
• 【core 】 DesensitizedUtil增加对IPv4和IPv6支持（issue#I6ABCS@​Gitee）
• 【core 】 针对CollUtil.subtract coll1 为只读集合的补偿（pr#2865@​Github）
• 【core 】 DateUtil.date方法统一修改规则，传入null返回null（pr#2877@​Github）
• 【core 】 DateUtil.parseUTC统一规范，舍弃3位毫秒数后的数字（pr#2889@​Github）

🐞Bug修复

• 【core 】 修复HexUtil.isHexNumber()对"-"的判断问题（issue#2857@​Github）
• 【core 】 修复FileTypeUtil判断wav后缀的录音文件类型不能匹配问题（pr#2834@​Github）
• 【core 】 修复FileUtil的rename在newName与原文件夹名称一样时，文件夹会被删除问题（issue#2845@​Github）
• 【core 】 修复IoUtil.readBytes使用SocketInputStream读取不完整问题（issue#I6AT49@​Gitee）
• 【core 】 修复ClassScanner自定义classload无效问题（issue#I68TV2@​Gitee）
• 【core 】 【重要】删除XmlUtil.readObjectFromXml方法，避免漏洞（issue#2855@​Github）
• 【core 】 修复Ipv4Util.list()方法的bug（pr#929@​Gitee）
• 【poi 】 修复“sax方式读取excel2003版本，会调用两次doAfterAllAnalysed方法”问题。（pr#919@​Gitee）

---

v5.8.11

Compare Source

🐣新特性

• 【core 】 CharUtil.isBlankChar增加\u180e（pr#2738@​Github）
• 【core 】 SyncFinisher线程同步结束器添加立即结束方法（pr#879@​Gitee）
• 【core 】 HtmlUtil中escape方法，增加不断开空格（nbsp）转译，防止xss攻击（pr#2755@​Github）
• 【extra 】 修正sftp.cd方法 方法注释和实际效果不符（issue#2758@​Github）
• 【core 】 修改PhoneUtil容易歧义的注释（issue#I63GWK@​Gitee）
• 【crypto】 KeyUtil中的读取KeyStore文件的方法增加全局Provider（issue#I6796G@​Gitee）
• 【extra 】 CompressUtil 新增 stripComponents 参数（pr#904@​Gitee）
• 【extra 】 ServletUtil和JakartaServletUtil新增获取所有响应头的方法（pr#2828@​Github）
• 【core 】 BooleanUtil增加toString重载（pr#2816@​Github）

🐞Bug修复

• 【json 】 修复普通byte数组转JSONArray时的异常（pr#875@​Gitee）
• 【core 】 修复ArrayUtil.insert()不支持原始类型数组的问题（pr#874@​Gitee）
• 【core 】 修复HexUtil.isHexNumber()判断逻辑超出long的精度问题（issue#I62H7K@​Gitee）
• 【core 】 修复BiMap中未重写computeIfAbsent和putIfAbsent导致双向查找出问题（issue#I62X8O@​Gitee）
• 【json 】 修复JSON解析栈溢出部分问题（issue#2746@​Github）
• 【json 】 修复getMultistageReverseProxyIp未去除空格问题（issue#I64P9J@​Gitee）
• 【db 】 修复NamedSql中in没有判断大小写问题（issue#2792@​Github）
• 【core 】 修复ZIP bomb漏洞（issue#2797@​Github）
• 【core 】 修复JSONXMLSerializer将Json转为XML时，遇到嵌套需要递归情况时会丢失contentKeys问题（pr#903@​Gitee）
• 【db 】 修复使用mariadb通过jdbcurl创建SimpleDataSource报NullPointException（pr#900@​Gitee）
• 【core 】 修复UrlBuilder中参数中包括"://"判断错误问题（pr#898@​Gitee）
• 【core 】 修复IndexedComparator导致的数据错乱问题（ExcelWriter使用部分别名导致字段丢失）（issue#I66Z6B@​Gitee）
• 【crypto】 修复sm2构造方法NullPointerException（pr#2820@​Github）
• 【core 】 修复ConverterRegistry中无效加载导致的问题（issue#2812@​Github）
• 【core 】 修复CoordinateUtil坐标转换参数错误（pr#895@​Gitee）

---

v5.8.10

Compare Source

🐣新特性

• 【http 】 HttpResponse增加getFileNameFromDisposition方法（pr#2676@​Github）
• 【core 】 FileUtil.copy，当来源为文件时，返回文件而非目录（issue#I5YCVL@​Gitee）
• 【db 】 DialectFactory增加identifyDriver重载（issue#I5YWI6@​Gitee）
• 【core 】 去除ClassloaderUtil的Cache（issue#I5YWI6@​Gitee）
• 【core 】 ClassScanner 增加忽略加载错误类的扫描方法（pr#855@​Gitee）
• 【core 】 DateUtil和LocalDateTimeUtil添加区间退化为点，点与区间，点与点之间关系判断。（pr#2725@​Github）
• 【http 】 UserAgentUtil增加对钉钉PC端的支持（issue#I60UOP@​Gitee）
• 【extra 】 兼容ZipArchiveInputStream多参数情况（issue#2736@​Github）

🐞Bug修复

• 【db 】 修复分页时order by截断问题（issue#I5X6FM@​Gitee）
• 【core 】 修复Partition计算size除数为0报错问题（pr#2677@​Github）
• 【core 】 由于对于ASCII的编码解码有缺陷，且这种BCD实现并不规范，因此BCD标记为弃用（issue#I5XEC6@​Gitee）
• 【core 】 修复IoUtil.copyByNIO方法写出时没有flush的问题
• 【core 】 修复TreeBuilder中使用HashMap导致默认乱序问题（issue#I5Z8C5@​Gitee）
• 【core 】 修复StrUtil.subWithLength负数问题（issue#I5YN49@​Gitee）
• 【core 】 修复DefaultTrustManager空指针问题（issue#2716@​Github）
• 【core 】 修复时间轮添加任务线程安全问题（pr#2712@​Github）
• 【core 】 修复 BeanUtil#copyProperties 源对象与目标对象都是 Map 时设置忽略属性无效问题（pr#2698@​Github）
• 【core 】 修复ChineseDate传入农历日期非闰月时获取公历错误问题（issue#I5YB1A@​Gitee）
• 【core 】 修复key为弱引用 value为强引用 会导致key无法被回收 弱引用失效问题（pr#2723@​Github）
• 【core 】 修复BeanUtil.copyProperties 包含EnumSet ，类型转换异常问题（pr#2684@​Github）
• 【extra 】 修复Ftp.uploadFileOrDirectory上传目录错误调用错误问题（issue#I5R2DE@​Gitee）
• 【extra 】 修复字节数组转float 返回类型却是double的bug（pr#867@​Gitee）

---

---

Configuration

📅 Schedule: (UTC)

• Branch creation
  • ""
• Automerge
  • At any time (no schedule defined)

🚦 Automerge: Disabled by config. Please merge this manually once you are satisfied.

♻ Rebasing: Whenever PR becomes conflicted, or you tick the rebase/retry checkbox.

🔕 Ignore: Close this PR and you won't be reminded about this update again.

---

• If you want to rebase/retry this PR, check this box

---

This PR was generated by Mend Renovate. View the repository job log.