Het verhaal
Een wormbare kwetsbaarheid in SourceHut’s ansi2html-parser (build-logs) maakte account-overname mogelijk: wie tekst in een build-log kon injecteren, kon XSS triggeren bij wie de log bekeek (o.a. builds.sr.ht). Gepubliceerd als CVE-2026-92973; Hacker News tilde het op 24 sep 2026.