CVSS 9.0 以上
CVE-2026-63377
要約
TAKO AI Agent for Okta の 3.0.1-beta より前のバージョンでは、`src/api/routers/auth.py` の `POST /api/auth/setup` により、認証されていないネットワーク上の攻撃者が、正規の所有者が初期設定を完了する前に最初の管理者アカウントを作成できる。`initial_setup` 関数は `is_setup` の完了フラグしか確認せず、認証、ワンタイムのブートストラップトークン、ネットワーク制限のいずれも求めない。この問題はバージョン 3.0.1-beta で修正されている。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
TAKO AI Agent for OktaOktaDocker ComposeJWT
このタグの新着を RSS で受け取る: TAKO AI Agent for Okta / Okta / Docker Compose / JWT(使い方)
判定の理由
- CVSS 9.0 以上