CVE-2026-0598
Publiée le 2026-02-06 · Dernière modification le 2026-06-17
L'API du chat AI Ansible Lightspeed est affectée par une faille qui ne permet pas de vérifier si l'identifiant d'une conversation appartient bien à l'utilisateur qui la demande. Un attaquant disposant de son propre compte valide peut ainsi consulter ou manipuler les conversations IA d'autres utilisateurs, exposant potentiellement des données sensibles. Cela nécessite un accès réseau et des identifiants d'authentification, bien que l'exécution soit difficile car l'attaquant doit deviner ou obtenir un identifiant de conversation spécifique.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A security flaw was identified in the Ansible Lightspeed API conversation endpoints that handle AI chat interactions. The APIs do not properly verify whether a conversation identifier belongs to the authenticated user making the request. As a result, an attacker with valid credentials could access or influence conversations owned by other users. This exposes sensitive conversation data and allows unauthorized manipulation of AI-generated outputs.