CVE-2026-63377

Nome do Software Vulnerável e Versões Afetadas TAKO AI Agent for Okta versões anteriores a 3.0.1-beta

Descrição Um invasor de rede não autenticado pode criar a primeira conta de administrador antes que o proprietário legítimo complete a configuração inicial. A função initial setup() verifica apenas a flag de conclusão is setup e não exige autenticação, token de bootstrap ou restrições de rede. O endpoint 'POST /api/auth/setup' em src/api/routers/auth.py invoca create auth user() com UserRole.ADMIN e set auth cookie(), emitindo um cookie JWT fctr session válido. Como a aplicação inicia o listener em 0.0.0.0 e publica a porta 8001 em todas as interfaces, clientes HTTP que não sejam navegadores podem ignorar as regras de CORS exclusivas para localhost. Um invasor que explore isso pode se tornar o único administrador, impedindo a configuração legítima e obtendo a capacidade de ler dados de usuários sincronizados com o Okta, tokens de API, histórico de chat e configuração do aplicativo, além de modificar usuários e credenciais de integração do Okta.

Recomendações Atualize o TAKO AI Agent for Okta para a versão 3.0.1-beta.