CVE-2026-81852
NiskieCVSS 2.1Streszczenie
Podatność w ash_admin polega na użyciu twardo zakodowanego, publicznie znanego nonce CSP, co osłabia ochronę Content-Security-Policy. Domyślny nonce jest stałą znaną z repozytorium i nie jest rotowany, co pozwala na wykorzystanie go do uruchamiania nieautoryzowanych skryptów.
Ocena ryzyka
Atakujący może wykorzystać znany nonce do wstrzyknięcia i uruchomienia złośliwych skryptów na stronach administracyjnych, co może prowadzić do przejęcia sesji lub kradzieży danych.
Rekomendacja
Zaktualizuj ash_admin do wersji 1.3.1 lub nowszej, która generuje losowy nonce dla każdego żądania.
Inne podatności w ash_admin
Zobacz wszystkie- CVE-2026-82722Wysokie
Podatność w ash_admin pozwala każdemu klientowi, który może dotrzeć do panelu administracyjnego LiveView, na wyczerpanie tablicy atomów BEAM i awarię całego węzła. Dwa handlery zdarzeń LiveView tworzą atomy z niezweryfikowanych danych wejściowych klienta, a atomy nie są nigdy usuwane, co prowadzi do awarii.
- CVE-2026-82681Niskie
Podatność w ash_admin pozwala atakującemu kontrolującemu klucz główny rekordu na zmianę celu linków akcji wiersza w AshAdmin. Linki są budowane przez interpolację bez kodowania URL, co umożliwia wstrzyknięcie parametrów i przekierowanie administratora do niepożądanych akcji.
- CVE-2026-82673Wysokie
Podatność typu Path Traversal w ash_admin umożliwia zapis dowolnych bajtów kontrolowanych przez atakującego w dowolnych ścieżkach na serwerze. Nazwa pliku z przeglądarki nie jest sanityzowana, co pozwala na zapis poza katalogiem tymczasowym.
- CVE-2026-81853Niskie
Podatność w ash_admin pozwala na obejście autoryzacji poprzez kontrolowany klucz użytkownika, zamieniając URL wyszukiwania rekordu w wyrocznię równości dla wrażliwych atrybutów. Dekodowanie klucza głównego nie sprawdza, czy zwrócone pola są prawdziwymi polami klucza głównego, co umożliwia brute-force wrażliwych wartości.
- CVE-2026-77850Wysokie
Podatność Stored Cross-site Scripting w ash_admin wykonuje treść rekordów dostarczoną przez atakującego jako skrypt w przeglądarce administratora. Komponenty RelationshipField i ManagedRelationshipSelectField renderują etykiety bez odpowiedniego escapowania.
- CVE-2026-75757Wysokie
Podatność w ash_admin polegająca na poleganiu na ciasteczkach bez walidacji i integralności pozwala atakującemu kontrolującemu subdomenę na przejęcie sesji administratora i zmianę aktora, dzierżawcy lub trybu autoryzacji. Ciasteczka są dopasowywane za pomocą niezakotwiczonego wyrażenia regularnego.
Oryginalny opis (angielski, źródło NVD)
Use of Insufficiently Random Values vulnerability in ash-project ash_admin ships a hardcoded, publicly known CSP nonce, defeating nonce-based Content-Security-Policy protection. When mounted without :csp_nonce_assign_key, AshAdmin.Router.ash_admin/2 defaulted the img, style, and script nonces to the literal constant ash_admin-Ed55GFnX, which AshAdmin.Layouts wrote verbatim into the nonce attribute of its inline <style> and <script> tags on every response. The value is a compile-time constant published in the repository and is never rotated per request. If an application's CSP script-src allow-lists that documented default, any HTML-injection sink on an admin page can reuse the known nonce to run inline scripts the policy was meant to block. The fix generates a fresh random nonce per request. This issue affects ash_admin: from 0.10.8 before 1.3.1.