PT-2026-134242
CVE-2026-63378
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-10-31
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
TAKO AI Agent for Okta الإصدارات السابقة لـ 3.0.1-beta
الوصف
يمكن للمستخدمين المصرح لهم الذين يمتلكون ملف تعريف ارتباط
fctr session صالح تنفيذ كود Python تعسفي دون الحاجة إلى صلاحيات مسؤول. من خلال إرسال طلب إلى نقطة النهاية 'POST /api/react/execute-script' باستخدام المعلمة script code ، يمكن للمهاجم تجاوز تصفية المحتوى القائمة على الذكاء الاصطناعي والتحقق الأمني. تفشل عملية التحقق في validate generated code() في التعامل بشكل صحيح مع أهداف ast.Call وتسمح بـ getattr عبر ALLOWED BUILTINS ، مما يسمح لسلاسل استدعاء ديناميكية من خلال builtins بالتهرب من الكشف. يتم كتابة الكود على القرص بواسطة write temp script() ويتم تنفيذه كمستخدم root عبر asyncio.create subprocess exec(). يتم إرجاع نتائج التنفيذ من خلال نقطة النهاية 'GET /api/react/stream-react-updates?process id='. يمكن أن يؤدي ذلك إلى اختراق كامل للحاوية، والكشف عن رموز API الخاصة بـ Okta ومفاتيح JWT، وكشف قاعدة بيانات SQLite، والقيام بعمليات تحويل غير مصرح بها إلى خدمات الخلفية.التوصيات
تحديث TAKO AI Agent for Okta إلى الإصدار 3.0.1-beta.
كإجراء مؤقت، قم بتقييد الوصول إلى نقطة النهاية 'POST /api/react/execute-script'.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾