CVE-2026-57475
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Deloitte AI Assist for Customer akceptował nieuwierzytelnione żądania POST przez publiczne API, umożliwiając zdalnemu atakującemu ograniczone modyfikacje konfiguracji. Modyfikacje te nie były wykorzystywane przez system. Od 2026-03-25 ograniczono dostęp sieciowy i wymuszono uwierzytelnianie.
Ocena ryzyka
Organizacja narażona była na ryzyko nieautoryzowanych zmian konfiguracji, choć nie miały one wpływu na działanie systemu.
Rekomendacja
Zaleca się upewnienie, że dostęp sieciowy do API jest ograniczony, a uwierzytelnianie jest wymagane.
Inne podatności w Deloitte AI Assist for Customer
Zobacz wszystkie- CVE-2026-57476Średnie
Deloitte AI Assist for Customer udostępniał nieuwierzytelnione punkty końcowe API, które umożliwiały atakującemu ze znajomością dodatkowych parametrów odczyt lub wstrzyknięcie treści do korpusu RAG. 26 marca 2026 r. ograniczono dostęp sieciowy i wymuszono uwierzytelnianie dla wcześniej narażonych punktów końcowych.
- CVE-2026-57474Średnie
Deloitte AI Assist for Customer ujawniało informacje konfiguracyjne przez publiczne endpointy API, które akceptowały nieuwierzytelnione żądania. Informacje te mogły zmniejszyć wysiłek atakującego podczas rozpoznania. Od 2026-03-25 ograniczono dostęp sieciowy i wymuszono uwierzytelnianie.
Oryginalny opis (angielski, źródło NVD)
Deloitte AI Assist for Customer accepted unauthenticated POST requests through public-facing API endpoints that allowed a remote attacker to make limited additions to the configuration. These additions were not used by the system. On 2026-03-25, AI Assist for Customer restricted network access and enforced authentication for the previously exposed endpoints.