CVE-2026-81852 in ash_admin
Sumário
de VulDB • 31/08/2026
Vulnerabilidade de uso de valores insuficientemente aleatórios no ash-project ash_admin inclui um CSP (Content-Security-Policy) nonce hardcoded e publicamente conhecido, invalidando a proteção baseada em nonce do Content-Security-Policy.
Quando montado sem `:csp_nonce_assign_key`, o AshAdmin.Router.ash_admin/2 definia os nonces para img, style e script como a constante literal ash_admin-Ed55GFnX, que era escrita verbatim pelo AshAdmin.Layouts no atributo nonce de suas tags inline `<script>` e `<style>` em cada resposta. O valor é uma constante compilada publicada no repositório e nunca rotacionada por solicitação. Se o allow-list script-src do CSP da aplicação permitir esse padrão documentado, qualquer ponto de injeção de HTML em uma página administrativa pode reutilizar o nonce conhecido para executar scripts inline que a política deveria bloquear. A correção gera um novo nonce aleatório por solicitação.
Este problema afeta ash_admin: das versões 0.10.8 até antes da 1.3.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.