Puedes probar usando el siguente plugin de chrome Content Security Policy (CSP) Generator, te va dar una lista de las políticas faltantes, las agregas en el head dentro de un
Ejemplo:
<meta http-equiv="Content-Security-Policy" content="
default-src 'self';
script-src 'report-sample' 'self' https://http2.mlstatic.com/storage/event-metrics-sdk/js https://sdk.mercadopago.com/js/v2 https://www.mercadopago.com.mx/;
style-src 'report-sample' 'self';
object-src 'none'; base-uri 'self';
connect-src 'self' https://events.mercadopago.com;
font-src 'self' data:;
frame-src 'self' https://www.mercadopago.com.mx;
img-src 'self';
manifest-src 'self';
media-src 'self';
worker-src 'self';">
Si ya tienes el metatag solo agrega las faltantes.
Tal vez eso pueda ayudarte.