CVE-2026-57474
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Deloitte AI Assist for Customer ujawniało informacje konfiguracyjne przez publiczne endpointy API, które akceptowały nieuwierzytelnione żądania. Informacje te mogły zmniejszyć wysiłek atakującego podczas rozpoznania. Od 2026-03-25 ograniczono dostęp sieciowy i wymuszono uwierzytelnianie.
Ocena ryzyka
Atakujący może zebrać szczegóły konfiguracji systemu, co ułatwia dalsze ataki, takie jak eskalacja uprawnień lub kradzież danych.
Rekomendacja
Upewnij się, że endpointy API są chronione uwierzytelnianiem i ograniczone sieciowo, zgodnie z aktualizacją z 2026-03-25.
Inne podatności w Deloitte AI Assist for Customer
Zobacz wszystkie- CVE-2026-57476Średnie
Deloitte AI Assist for Customer udostępniał nieuwierzytelnione punkty końcowe API, które umożliwiały atakującemu ze znajomością dodatkowych parametrów odczyt lub wstrzyknięcie treści do korpusu RAG. 26 marca 2026 r. ograniczono dostęp sieciowy i wymuszono uwierzytelnianie dla wcześniej narażonych punktów końcowych.
- CVE-2026-57475Średnie
Deloitte AI Assist for Customer akceptował nieuwierzytelnione żądania POST przez publiczne API, umożliwiając zdalnemu atakującemu ograniczone modyfikacje konfiguracji. Modyfikacje te nie były wykorzystywane przez system. Od 2026-03-25 ograniczono dostęp sieciowy i wymuszono uwierzytelnianie.
Oryginalny opis (angielski, źródło NVD)
Deloitte AI Assist for Customer disclosed some configuration information through public-facing API endpoints that accepted unauthenticated requests. This information could reduce an attacker’s reconnaissance effort. On 2026-03-25, AI Assist for Customer restricted network access and enforced authentication for the previously exposed endpoints.