Dossier Patrick's news
pm7.news EST. 2026
laden
← Overzicht

SourceHut: account-overname via XSS in build-logs (ansi2html, CVE-2026-92973)

· opgehaald 07:22

Samenvatting

Wormbare XSS in ansi2html.py liet aanvallers accounts overnemen van wie een giftige builds.sr.ht-build-log bekeek — ontdekt en gepubliceerd als CVE-2026-92973.

Het verhaal

Een wormbare kwetsbaarheid in SourceHut’s ansi2html-parser (build-logs) maakte account-overname mogelijk: wie tekst in een build-log kon injecteren, kon XSS triggeren bij wie de log bekeek (o.a. builds.sr.ht). Gepubliceerd als CVE-2026-92973; Hacker News tilde het op 24 sep 2026.