PT-2026-134241
CVE-2026-63377
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-10-31
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
TAKO AI Agent for Okta الإصدارات السابقة لـ 3.0.1-beta
الوصف
يمكن لمهاجم شبكة غير مصرح له إنشاء أول حساب مسؤول قبل أن يكمل المالك الشرعي الإعداد الأولي. تتحقق الدالة
initial setup() فقط من علم اكتمال is setup ولا تتطلب مصادقة أو رمز bootstrap أو قيود على الشبكة. يقوم نقطة النهاية 'POST /api/auth/setup' في src/api/routers/auth.py باستدعاء create auth user() باستخدام UserRole.ADMIN و set auth cookie()، مما يؤدي إلى إصدار ملف تعريف ارتباط JWT من نوع fctr session صالح. نظرًا لأن التطبيق يبدأ المستمع على 0.0.0.0 وينشر المنفذ 8001 على جميع الواجهات، يمكن لعملاء HTTP غير المتصفح تجاوز قواعد CORS المقتصرة على localhost. يمكن للمهاجم الذي يستغل هذه الثغرة أن يصبح المسؤول الوحيد، مما يمنع الإعداد الشرعي ويمنحه القدرة على قراءة بيانات المستخدمين المتزامنة مع Okta، ورموز API، وسجل الدردشة، وتكوين التطبيق، بالإضافة إلى تعديل المستخدمين وبيانات اعتماد تكامل Okta.التوصيات
تحديث TAKO AI Agent for Okta إلى الإصدار 3.0.1-beta.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾