SourceHut 构建日志 XSS 可致账号接管：CVE-2026-92973 已修复
研究人员披露 builds.sr.ht 经 ansi2html 处理构建日志时存在 XSS，可在查看日志时窃取 CSRF 并接管账号；上游与 SourceHut 均已打补丁。
安全研究员 Arusekk 公开 CVE-2026-92973：SourceHut 的 builds.sr.ht 使用 ansi2html 将 ANSI 转 HTML 时，恶意 OSC 8 超链接可注入可执行属性或 javascript: URL。攻击者可通过邮寄列表补丁触发 CI，或控制会打印到日志的远程资源，使任何打开该构建日志的用户执行脚本。
利用页面内 CSRF 令牌，可在受害者权限下提交构建，严重时可触及部署密钥。SourceHut 于 8 月初在服务端对输出消毒缓解；上游 ansi2html 在 1.9.4 修复。受影响版本包括 ansi2html ≥1.7.0、<1.9.4 以及 builds.sr.ht 相关区间。