CVE-2025-64494

Soft Serve does not sanitize ANSI escape sequences in user input in github.com/charmbracelet/soft-serve

### Impact In several places where the user can insert data (e.g. names), ANSI escape sequences are not being removed, which can then be used, for example, to show fake alerts. In the same token, git messages, when printed, are also not being sanitized. Places in which this was found: 1. Repository Description (pkg/backend/repo.go - SetDescription) 2. Repository Project Name (pkg/backend/repo.go - SetProjectName) 3. Git Commit Author Names (pkg/ssh/cmd/commit.go:69) 4. Git Commit Messages (pkg/ssh/cmd/commit.go:71) 5. Access Token Names (pkg/ssh/cmd/token.go:107) 6. Webhook URLs (pkg/ssh/cmd/webhooks.go:72) ### Patches v0.11.0 ### Workarounds No. ### References n/a

Soft Serve es un servidor Git autoalojable para la línea de comandos. En versiones anteriores a la 0.10.0, existen varios puntos donde el usuario puede insertar datos (por ejemplo, nombres) y las secuencias de escape ANSI no se están eliminando, lo que puede usarse, por ejemplo, para mostrar alertas falsas. Del mismo modo, los mensajes de Git, cuando se imprimen, tampoco se están saneando. Este problema se ha corregido en la versión 0.10.0.