CVE-2026-81852

Nome do Software Vulnerável e Versões Afetadas ash admin versões 0.10.8 até 1.3.0

Description O software utiliza um nonce de Content-Security-Policy (CSP) fixo e publicamente conhecido, o que compromete as proteções de CSP baseadas em nonce. Quando a função ash admin/2 em AshAdmin.Router é montada sem a chave :csp nonce assign key, os nonces para imagens, estilos e scripts assumem o valor constante ash admin-Ed55GFnX. Este valor é uma constante de tempo de compilação que não é rotacionada por requisição e é escrita no atributo nonce de tags <style> e <script> inline. Se um CSP script-src permitir este valor padrão, um ponto de injeção de HTML em uma página de administração pode ser utilizado para executar scripts inline reutilizando o nonce conhecido.

Recommendations Atualize o ash admin para a versão 1.3.1 ou posterior. Como mitigação temporária, forneça um valor exclusivo para a chave :csp nonce assign key ao montar ash admin/2 para evitar o uso do nonce padrão fixo.