무슨 일이 있었나
CreditNirvana Agentic AI Call Centre의 클라이언트 측 JavaScript 번들에 포함된 하드코딩 정적 API 키는 인증되지 않은 공격자가 추출할 수 있어 보호된 백엔드 기능에 접근할 수 있습니다. CERT-In 권고 CIVN-2026-0523; CVSS 8.7, 2026-10-26 게시.
왜 중요한가
이 애플리케이션은 에이전트 AI 콜센터 제품이며, 노출된 키는 LLM/에이전트 백엔드 또는 전화 API를 보호할 가능성이 높습니다. 클라이언트 측 비밀 키는 인증되지 않은 사용자에게 보호된 AI 서비스 계층으로의 경로를 제공합니다.
공격 경로
인증되지 않은 공격자가 클라이언트 측 JavaScript 번들을 다운로드하고 정적 API 키를 추출한 다음 해당 키를 인증에 사용하는 백엔드 API 또는 서비스를 호출하는 데 사용합니다.
영향받는 시스템
CreditNirvana Agentic AI Call Centre 애플리케이션 (클라이언트 측 JavaScript 번들).
완화 방안
노출된 API 키를 회전시키고 클라이언트 번들에서 키를 서버 측 프록시/단기 토큰으로 이동하십시오; 클라이언트에 내장된 비밀 키에 의존하지 말고 백엔드에서 인증을 적용하십시오.