Veille sécuritéBackend & données
P3Élevée
TAKO AI Agent for Okta permet à un utilisateur authentifié disposant d’un cookie `fctr_session` d’envoyer du code Python qui contourne la validation et est exécuté par le processus de l’application. La version 3.0.1-beta corrige le problème; mettez à niveau sans délai si le produit est déployé.
Python
IdentifiantCVE-2026-63378
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif3.0.1-beta
Source : NVD — CVE-2026-63378
Analyse technique
La validation du code généré peut être contournée par des appels dynamiques; le code accepté est écrit sur disque puis exécuté comme processus enfant.
Impact, versions et correctif
Événement datéLa fiche indique une publication le 2026-10-30T23:17:14.410Z, soit le 2026-10-31 à 01:17:14.410 +02:00, dans la période. La mise à jour NVD du 2026-11-02 est postérieure à la borne.
ImpactExécution de code dans le contexte du processus applicatif, avec risque d’exposition de secrets et de compromission du conteneur.
Versions affectéesversions antérieures à 3.0.1-beta
Version corrigée3.0.1-beta
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,36% · percentile 29,9%
Publication2026-10-30T23:17:14.410Z
Action recommandée
Mettre à niveau vers la version 3.0.1-beta ou une version ultérieure corrigée.
Sources
Priorisation DFS : P3 · 1 source(s).