CVE-2026-81852
Publiée le 2026-08-31 · Dernière modification le 2026-09-01
Les applications utilisant `ash_admin` (versions 0.10.8 à 1.3.0) sans clé de nonce CSP personnalisée sont concernées. Si un attaquant trouve un moyen d'injecter du HTML dans une page d'administration, il peut utiliser une valeur par défaut connue publiquement pour contourner les protections de la Content Security Policy (CSP) et exécuter des scripts inline non autorisés. Cela nécessite un accès réseau et une interaction réussie de l'utilisateur, comme le fait d'inciter un administrateur à visiter une page spécialement conçue à cet effet.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Use of Insufficiently Random Values vulnerability in ash-project ash_admin ships a hardcoded, publicly known CSP nonce, defeating nonce-based Content-Security-Policy protection. When mounted without :csp_nonce_assign_key, AshAdmin.Router.ash_admin/2 defaulted the img, style, and script nonces to the literal constant ash_admin-Ed55GFnX, which AshAdmin.Layouts wrote verbatim into the nonce attribute of its inline <style> and <script> tags on every response. The value is a compile-time constant published in the repository and is never rotated per request. If an application's CSP script-src allow-lists that documented default, any HTML-injection sink on an admin page can reuse the known nonce to run inline scripts the policy was meant to block. The fix generates a fresh random nonce per request. This issue affects ash_admin: from 0.10.8 before 1.3.1.