fix RUSTSEC-2026-0190 (#3822)