Две уязвимости в npm-пакетах fast-jwt и decompress

В npm-пакете fast-jwt (6.2.0–6.3.0) нашли уязвимость CVE-2026-107722 с CVSS 9.8: публичный ключ RSA с посторонними символами перед PEM-заголовком воспринимается как HMAC-секрет, что позволяет подделать JWT. В пакете decompress обнаружен path traversal CVE-2026-101894 (CVSS 9.1) через цепочку симлинков; оригинальный пакет не исправлен, форк @xhmikosr/decompress закрыт в 10.2.2 и 11.1.4.

• fast-jwt 6.2.0–6.3.0: CVSS 9.8, исправлено в 6.3.0
• decompress: CVSS 9.1, оригинал 4.2.1 не патчится
• Форк @xhmikosr/decompress исправлен в 10.2.2 и 11.1.4
• Обновление Node.js не меняет версии зависимостей