CVE-2026-57476
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Deloitte AI Assist for Customer udostępniał nieuwierzytelnione punkty końcowe API, które umożliwiały atakującemu ze znajomością dodatkowych parametrów odczyt lub wstrzyknięcie treści do korpusu RAG. 26 marca 2026 r. ograniczono dostęp sieciowy i wymuszono uwierzytelnianie dla wcześniej narażonych punktów końcowych.
Ocena ryzyka
Atakujący może odczytać lub zmodyfikować dane w korpusie RAG, co może prowadzić do wycieku poufnych informacji lub manipulacji odpowiedziami systemu.
Rekomendacja
Zaktualizuj Deloitte AI Assist for Customer do najnowszej wersji, która wymusza uwierzytelnianie dla wszystkich punktów końcowych API.
Inne podatności w Deloitte AI Assist for Customer
Zobacz wszystkie- CVE-2026-57475Średnie
Deloitte AI Assist for Customer akceptował nieuwierzytelnione żądania POST przez publiczne API, umożliwiając zdalnemu atakującemu ograniczone modyfikacje konfiguracji. Modyfikacje te nie były wykorzystywane przez system. Od 2026-03-25 ograniczono dostęp sieciowy i wymuszono uwierzytelnianie.
- CVE-2026-57474Średnie
Deloitte AI Assist for Customer ujawniało informacje konfiguracyjne przez publiczne endpointy API, które akceptowały nieuwierzytelnione żądania. Informacje te mogły zmniejszyć wysiłek atakującego podczas rozpoznania. Od 2026-03-25 ograniczono dostęp sieciowy i wymuszono uwierzytelnianie.
Oryginalny opis (angielski, źródło NVD)
Deloitte AI Assist for Customer exposed unauthenticated API endpoints that allowed an attacker with knowledge of additional parameters to read from or inject content into the retrieval-augmented generation (RAG) corpus. On 2026-03-25, AI Assist for Customer restricted network access and enforced authentication for the previously exposed endpoints.