Jervis Has a SHA-256 Hex String Padding Bug
Vulnerability
padLeft(32, '0') should be padLeft(64, '0'). SHA-256 produces 32 bytes = 64 hex characters.
Impact
- Inconsistent hash lengths when leading bytes are zero
- Comparison failures for hashes with leading zeros
- Potential security issues in hash-based comparisons
- Could cause subtle bugs in systems relying on consistent hash lengths
Severity is considered low for internal uses of this library but if there's any consumer using these methods directly then this is considered high.
Patches
Upgrade to Jervis 2.2.
Workarounds
Use an alternate SHA-256 hash function or upgrade.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Java / Kotlin (Maven) | net.gleske:jervis | < 2.2 | 2.2 |
Odnośniki
- https://github.com/samrocketman/jervis/security/advisories/GHSA-67rj-pjg6-pq59
- https://nvd.nist.gov/vuln/detail/CVE-2025-68702
- https://github.com/samrocketman/jervis/commit/c3981ff71de7b0f767dfe7b37a2372cb2a51974a
- https://github.com/samrocketman/jervis
- https://github.com/samrocketman/jervis/blob/157d2b63ffa5c4bb1d8ee2254950fd2231de2b05/src/main/groovy/net/gleske/jervis/tools/SecurityIO.groovy#L622-L626
- http://github.com/samrocketman/jervis/commit/c3981ff71de7b0f767dfe7b37a2372cb2a51974a
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N- Słabość (CWE)
CWE-327- Platforma
- Java / Kotlin (Maven)
- Paczka
net.gleske:jervis- Ujawniono
- 13.01.2026
- Aktualizacja
- 11.10.2026 12:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-67rj-pjg6-pq59 - CC BY 4.0
Historia podatności: net.gleske:jervis
Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 7
- Pierwsza → ostatnia
- 01.2026 01.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 6
- Średnia 1
Ujawnienia w latach
- 2026: 7
-
Jervis Has a SHA-256 Hex String Padding Bug ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.