ソフトウェア開発プラットフォームであるSourceHutは、継続的インテグレーションサービス「builds.sr.ht」において、アカウント乗っ取りを可能にする重大なセキュリティ脆弱性（CVE-2026-92973）に対処しました。この欠陥は、端末のカラー表示や書式設定に一般的に使用されるANSIエスケープシーケンスを、Webベースのビルドログ表示用にHTMLへ変換するPythonライブラリ「ansi2html」に起因するものでした。攻撃者は、OSC 8ハイパーリンクなどの特定のANSIシーケンスをビルドログに含めることで、悪意のあるペイロードを注入することができました。同ライブラリはこれらのシーケンスを適切にサニタイズできていなかったためです。JavaScriptを含むペイロードを作成することで、攻撃者は侵害されたビルドログを閲覧したユーザーのブラウザ上で任意のコードを実行可能でした。この脆弱性は、公開メーリングリストにパッチを投稿して自動ビルドをトリガーするなど、プラットフォームのアカウントを持たない者でも悪用できるという点で特に深刻でした。被害者がログを閲覧すると、注入されたスクリプトがCSRFトークンを含む機密情報にアクセスしたり、新しいビルドジョブの送信やデプロイキーへのアクセスといった不正な操作を行ったりする可能性がありました。この問題は数年間にわたって存在していましたが、2026年9月に特定され修正されました。SourceHutはビルドログ出力のサニタイズを厳格化することでリスクを軽減し、また、上位プロジェクトであるansi2html側でも根本的なXSS脆弱性に対処する修正がリリースされました。