Apa yang terjadi
Kunci API statis hardcoded yang tertanam dalam bundel JavaScript sisi klien dari CreditNirvana Agentic AI Call Centre dapat diekstraksi oleh penyerang tanpa autentikasi, memberikan akses ke fungsionalitas backend yang dilindungi. Advisori CERT-IN CIVN-2026-0523; CVSS 8.7, diterbitkan 2026-10-26.
Mengapa penting
Aplikasi ini adalah produk call centre AI agentik, dan kunci yang terekspos kemungkinan melindungi backend LLM/agen atau API teleponi; rahasia sisi klien memberikan jalur bagi pengguna tanpa autentikasi ke lapisan layanan AI yang dilindungi.
Vektor serangan
Penyerang tanpa autentikasi mengunduh bundel JavaScript sisi klien, mengekstrak kunci API statis, dan menggunakannya untuk memanggil API atau layanan backend yang bergantung pada kunci tersebut untuk autentikasi.
Sistem yang terdampak
Aplikasi CreditNirvana Agentic AI Call Centre (bundel JavaScript sisi klien).
Mitigasi
Rotasi kunci API yang terekspos dan pindahkan kunci keluar dari bundel klien ke proksi sisi server / token berumur pendek; terapkan otorisasi di backend daripada mengandalkan rahasia yang tertanam di klien.