Исследователь обнаружил, что при рефакторинге на Go в 2021 забыли проверять флаг закрытия регистрации. Достаточно POST-запроса с CSRF-токеном с /login. Уязвимость затрагивала версии с 0.56.11 по 0.88.9.
blog.arusekk.pl · #security #cve #security #sourcehut
Исследователь обнаружил, что утилита ansi2html.py некорректно обрабатывает OSC 8 гиперссылки, позволяя вставить произвольный HTML с autofocus и onfocus. Для эксплуатации достаточно отправить патч с CI в публичную рассылку. Проблема затрагивает builds.sr.ht.
blog.arusekk.pl · #security #security #sourcehut #xss