软件开发平台 SourceHut 最近修复了一个严重的安全漏洞（CVE-2026-92973），该漏洞允许通过其持续集成服务 builds.sr.ht 接管账户。此缺陷源于 ansi2html，这是一个用于将 ANSI 转义序列（通常用于终端颜色和格式设置）转换为 HTML 以便在网页构建日志中显示的 Python 库。攻击者可以通过包含特定的 ANSI 序列（例如 OSC 8 超链接）将恶意负载注入这些日志，而该库未能对其进行适当的清理。通过精心构造包含 JavaScript 的负载，攻击者可以在任何查看受损构建日志的用户浏览器中执行任意代码。此漏洞之所以特别严重，是因为它无需平台账户即可触发，例如通过向触发自动构建的公共邮件列表提交补丁即可实现。一旦受害者查看日志，注入的脚本就可能访问敏感信息（包括 CSRF 令牌），或者执行未经授权的操作，如提交新的构建任务或访问部署密钥。该问题在被发现并于 2026 年 9 月修复之前已存在多年。SourceHut 通过对构建日志输出实施更严格的清理来降低风险，而上游 ansi2html 项目也发布了修复程序以解决底层的 XSS 漏洞。