Jervis Has a SHA-256 Hex String Padding Bug
Vulnerability
padLeft(32, '0') should be padLeft(64, '0'). SHA-256 produces 32 bytes = 64 hex characters.
Impact
- Inconsistent hash lengths when leading bytes are zero
- Comparison failures for hashes with leading zeros
- Potential security issues in hash-based comparisons
- Could cause subtle bugs in systems relying on consistent hash lengths
Severity is considered low for internal uses of this library but if there's any consumer using these methods directly then this is considered high.
Patches
Upgrade to Jervis 2.2.
Workarounds
Use an alternate SHA-256 hash function or upgrade.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Java / Kotlin (Maven) | net.gleske:jervis | < 2.2 | 2.2 |
Referencias
- https://github.com/samrocketman/jervis/security/advisories/GHSA-67rj-pjg6-pq59
- https://nvd.nist.gov/vuln/detail/CVE-2025-68702
- https://github.com/samrocketman/jervis/commit/c3981ff71de7b0f767dfe7b37a2372cb2a51974a
- https://github.com/samrocketman/jervis
- https://github.com/samrocketman/jervis/blob/157d2b63ffa5c4bb1d8ee2254950fd2231de2b05/src/main/groovy/net/gleske/jervis/tools/SecurityIO.groovy#L622-L626
- http://github.com/samrocketman/jervis/commit/c3981ff71de7b0f767dfe7b37a2372cb2a51974a
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N- Debilidad (CWE)
CWE-327- Plataforma
- Java / Kotlin (Maven)
- Paquete
net.gleske:jervis- Publicada
- 13.01.2026
- Actualizado
- 11.10.2026 12:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-67rj-pjg6-pq59 - CC BY 4.0
Historial de vulnerabilidades: net.gleske:jervis
Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 7
- Primera → última
- 01.2026 01.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 6
- Media 1
Divulgaciones por año
- 2026: 7
-
Jervis Has a SHA-256 Hex String Padding Bug esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.