CreditNirvana Agentic AI Call Centreに、APIキーが埋め込まれた脆弱性
Summary
CreditNirvana Agentic AI Call Centreのクライアント側のJavaScriptに、APIキーが固定値で埋め込まれている脆弱性が見つかりました。認証のない遠隔の攻撃者がJavaScriptファイルを取得してキーを取り出すと、通話の文字起こしや録音を取得できるおそれがあり、CVSSv4のスコアは8.7です。修正版の情報は公表されていないため、最新の情報を確認してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
CreditNirvana Agentic AI Call Centreのクライアント側のJavaScriptに、APIキーが固定値で埋め込まれている脆弱性が見つかりました。認証のない遠隔の攻撃者がJavaScriptファイルを取得してキーを取り出すと、通話の文字起こしや録音を取得できるおそれがあり、CVSSv4のスコアは8.7です。修正版の情報は公表されていないため、最新の情報を確認してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| CreditNirvana | Agentic AI Call Centre | — | — |
Original description The description as published by the source.
This vulnerability exists in the CreditNirvana Agentic AI Call Centre application due to hardcoded static API Key in the client side JavaScript bundle. An unauthenticated remote attacker could exploit this vulnerability by downloading client side JavaScript files and extracting API key, which could lead to make arbitrary API calls to retrieve call transcripts and recordings through the application API of the targeted system.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web vdisclose@cert-in.org.in
- web nvd.nist.gov
- web github.com