CVE-2026-40472CVE-2026-40472 是 hackage-server 中发现的一个严重安全漏洞。该漏洞由于服务器未能正确清理来自 .cabal 文件的用户控制元数据所致。当这些数据被渲染到 HTML href 属性时，攻击者可以注入恶意脚本，导致存储型跨站脚本（XSS）攻击。鉴于 CVSS 评分高达 9.9，该漏洞对系统安全性构成极大威胁，可能导致用户数据泄露或会话劫持。
该漏洞的根源在于 hackage-server 在处理软件包元数据时缺乏严格的输入验证。攻击者可以通过上传特制的 .cabal 文件，将恶意载荷注入到元数据字段中。服务器在解析这些文件后，未经适当的上下文感知转义，直接将数据输出到 HTML 标签的 href 属性里。这使得攻击者能够利用 `javascript:` 伪协议或事件处理器绕过浏览器限制。由于是存储型漏洞，恶意代码会持久化在服务器上，任何访问该页面的用户都会触发脚本执行，从而面临被窃取凭证或执行未授权操作的风险。