ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
المنتج TAKO AI Agent for Okta هو وكيل ذكاء اصطناعي محلي يساعد مسؤولي Okta في الاستعلام عن بيانات المستأجر باستخدام اللغة الطبيعية. قبل الإصدار 3.0.1-beta، يسمح المسار `POST /api/auth/setup` في `src/api/routers/auth.py` لمهاجم شبكة دون مصادقة بإنشاء حساب المسؤول الأول قبل أن يكمل المالك الشرعي الإعداد الأولي. تتحقق الدالة `initial_setup` فقط من علامة إتمام `is_setup` ولا تتطلب أي مصادقة، أو رميّة تمهيدية لمرة واحدة (bootstrap token)، أو تقييدًا للشبكة. ينشر ملف `docker-compose.yml` الافتراضي المنفذ 8001 على جميع واجهات الشبكة، ويبدأ ملف `Dockerfile` المستمع على العنوان 0.0.0.0، ويقوم ملف `src/api/main.py` بتثبيت موجه المصادقة دون حماية مصادقة عامة. يستدعي نقطة النهاية `create_auth_user` مع `UserRole.ADMIN` و `set_auth_cookie`، مما يصدر ملف تعريف ارتباط JWT صالحًا لـ `fctr_session`. لا تقيد قواعد مشاركة الموارد عبر المنشأ (CORS) المقتصرة على المضيف المحلي عملاء HTTP غير المستندين إلى المتصفح، ولا تتطلب عملية الإعداد الوصول إلى مستأجر Okta حقيقي. يصبح المهاجم المسؤول الوحيد ويمنع إعداد التشغيل الأول الشرعي، ويمكنه قراءة بيانات المستخدمين المتزامنة مع Okta، ورموز API، وسجل الدردشة، وتكوين التطبيق، وتعديل المستخدمين وبيانات اعتماد تكامل Okta، وقفل المسؤولين أو تعطيل الخدمة. يتم رفض الإعداد المكتمل مسبقًا. تم إصلاح هذه المشكلة في الإصدار 3.0.1-beta.