CVE-2026-81852 in ash_admin
Resumen
por VulDB • 2026-08-31
Vulnerabilidad de uso de valores insuficientemente aleatorios en ash-project ash_admin que incluye un CSP (Content-Security-Policy) nonce codificado estáticamente y conocido públicamente, lo que invalida la protección basada en nonces del Content Security Policy.
Cuando se monta sin `:csp_nonce_assign_key`, AshAdmin.Router.ash_admin/2 establecía por defecto los nonces para img, style y script a la constante literal ash_admin-Ed55GFnX, que AshAdmin.Layouts escribía textualmente en el atributo nonce de sus etiquetas inline `<style>` y `<script>` en cada respuesta. El valor es una constante compilada publicada en el repositorio y nunca se rota por solicitud. Si la lista blanca (allow-list) script-src del CSP de una aplicación permite dicho valor predeterminado, cualquier punto de inyección HTML en una página de administración puede reutilizar el nonce conocido para ejecutar scripts inline que la política estaba destinada a bloquear. La solución genera un nuevo nonce aleatorio por cada solicitud.
Este problema afecta a ash_admin: desde la versión 0.10.8 hasta antes de la 1.3.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.