TAKO Okta智能体首启未认证接管漏洞披露

CVE-2026-63377 披露了 TAKO AI Agent for Okta v3.0.0-beta 的一个未认证接管漏洞：在全新部署、合法管理员尚未完成初始化时，未认证的网络攻击者可通过 `POST /api/auth/setup` 创建首个管理员账户，获得 `fctr_session` JWT 并完全控制应用；已完成初始化的部署会拒绝该请求，该问题已在 v3.0.1-beta 修复。 漏洞成因是默认 `docker-compose.yml` 将 8001 端口发布到所有网络接口、`Dockerfile` 以 0.0.0.0 启动监听，且 `src/api/main.py` 挂载认证路由时未加全局认证保护。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。