何が起きたか
CreditNirvana Agentic AI Call CentreのクライアントサイドJavaScriptバンドルに埋め込まれたハードコードされた静的APIキーは、認証されていない攻撃者によって抽出される可能性があり、保護されたバックエンド機能へのアクセスを許可します。CERT-In勧告 CIVN-2026-0523; CVSS 8.7、公開日 2026-10-26。
なぜ重要か
このアプリケーションはエージェンティックAIコールセンター製品であり、露出したキーはおそらくLLM/エージェントバックエンドまたはテレフォニーAPIを保護しています。クライアント側の秘密情報により、認証されていないユーザーが保護されたAIサービス層への経路を得ることができます。
攻撃経路
認証されていない攻撃者がクライアントサイドJavaScriptバンドルをダウンロードし、静的APIキーを抽出し、そのキーに依存するバックエンドAPIまたはサービスを呼び出すために使用します。
影響を受けるシステム
CreditNirvana Agentic AI Call Centreアプリケーション（クライアントサイドJavaScriptバンドル）。
緩和策
露出したAPIキーをローテーションし、キーをクライアントバンドルからサーバーサイドプロキシ/短命トークンに移動します。クライアントに埋め込まれた秘密情報に依存せず、バックエンドで認可を適用します。