SourceHut, una plataforma de desarrollo de software, abordó recientemente una vulnerabilidad de seguridad crítica (CVE-2026-92973) que permitía la toma de control de cuentas a través de su servicio de integración continua, builds.sr.ht. El fallo se originó en ansi2html, una biblioteca de Python utilizada por la plataforma para convertir secuencias de escape ANSI (comúnmente utilizadas para el color y el formato de terminal) en HTML para su visualización en registros de compilación basados en la web. Un atacante podía inyectar cargas útiles maliciosas en estos registros incluyendo secuencias ANSI específicas, como hipervínculos OSC 8, que la biblioteca no lograba desinfectar adecuadamente. Al crear una carga útil que incluía JavaScript, un atacante podía ejecutar código arbitrario en el navegador de cualquier usuario que viera el registro de compilación comprometido. Esta vulnerabilidad era particularmente grave porque podía activarse sin necesidad de tener una cuenta en la plataforma, por ejemplo, enviando un parche a una lista de correo pública que desencadenara una compilación automatizada. Una vez que la víctima veía el registro, el script inyectado podía acceder potencialmente a información confidencial, incluidos tokens CSRF, o realizar acciones no autorizadas como enviar nuevos trabajos de compilación o acceder a claves de despliegue. El problema persistió durante varios años antes de ser identificado y parcheado en septiembre de 2026. SourceHut mitigó el riesgo implementando una desinfección más estricta de la salida de los registros de compilación, mientras que el proyecto upstream ansi2html lanzó una corrección para abordar la vulnerabilidad XSS subyacente.