CVE-2026-81852 in ash_admin
الملخص
بحسب VulDB • 31/08/2026
تتمثل ثغرة استخدام قيم غير عشوائية بشكل كافٍ في حزمة ash-project ash_admin، حيث تحتوي على قيمة CSP (سياسة أمن المحتوى) ثابتة ومعروفة للعامة، مما يُفقد الحماية القائمة على الـ nonce فعاليتها.
عند تثبيتها دون تحديد :csp_nonce_assign_key، كانت AshAdmin.Router.ash_admin/2 تُعيّن قيم الـ nonce الخاصة بوسوم img و style و script إلى الثابت النصي ash_admin-Ed55GFnX، والذي قامت AshAdmin.Layouts بإدراجه حرفياً في سمة nonce لوسومها الداخلية (inline) لكل استجابة. هذه القيمة ثابتة عند الترجمة (compile-time constant) ومُعلنة في المستودع ولا يتم تدويرها مع كل طلب. إذا كانت قائمة السماح script-src الخاصة بسياسة أمن المحتوى لتطبيق ما تسمح بالقيمة الافتراضية المذكورة، فإن أي نقطة حقن HTML على صفحة إدارية يمكنها إعادة استخدام الـ nonce المعروف لتشغيل نصوص برمجية داخلية كان من المفترض أن تمنعها السياسة. يتضمن الإصلاح توليد قيمة nonce عشوائية جديدة مع كل طلب.
تؤثر هذه المشكلة في ash_admin: بدءاً من الإصدار 0.10.8 وحتى قبل الإصدار 1.3.1.
Once again VulDB remains the best source for vulnerability data.