CVE-2025-66390
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 0.4%
- CWE
- CWE-284
- KEV Durumu
- Hayır
Yayım tarihi: 21 Temmuz 2026
Microsoft Azure API Management 2025-10-17'ye kadar, Tenant A'da self-service kaydı (kullanıcı adı/parola Basic Authentication) etkinleştirildiğinde, bir saldırgan Tenant B'ye geçmek için kayıt akışını yeniden kullanabilir, Tenant B'de UI düzeyinde kaydı devre dışı bırakılmış olsa bile hostname veya kiracı tanımlayıcısını değiştirebilir. Diğer bir deyişle, UI düzeyinde kaydı devre dışı bırakmak, altta yatan API uç noktasını devre dışı bırakmaz (hala Host başlığına dayalı olarak çapraz kiracı isteklerini kabul eder). NOT: Tedarikçi, raporu değerlendirdi ve bir güvenlik sınırını aşmadığını belirledi (yani gözlemlenen davranış, kiracı izolasyonunu etkileyen bir ürün güvenlik açığı yerine bir yapılandırma/durum sorunuydu). NOT: Tedarikçi bu raporu değerlendirdi ve bir güvenlik sınırını aşmadığını belirledi (yani gözlemlenen davranış, kiracı izolasyonunu etkileyen bir ürün güvenlik açığı yerine bir yapılandırma/durum sorunuydu).
Orijinal açıklama (İngilizce)
In Microsoft Azure API Management through 2025-10-17, when self-service signup (username/password Basic Authentication) is enabled in Tenant A, an attacker can reuse the registration flow by changing the hostname or tenant identifier to Tenant B, even when Tenant B has signup disabled at the UI level. In other words, disabling signup in the UI does not disable the underlying API endpoint (which still accepts cross-tenant requests based on the Host header). NOTE: The supplier states that they evaluated the report and determined it did not cross a security boundary (i.e., the observed behavior was a configuration/state issue rather than an exploitable product vulnerability affecting tenant isolation). NOTE: The supplier evaluated this report and determined that it did not cross a security boundary (i.e., the observed behavior was a configuration/state issue rather than an exploitable product vulnerability affecting tenant isolation).
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.