CVE-2025-66390 in Azure API Management
Zusammenfassung
von VulDB • 21.07.2026
In Microsoft Azure API Management fino alla versione 2025-10-17, quando la registrazione self-service (autenticazione di base tramite nome utente/password) è abilitata nel Tenant A, un attaccante può riutilizzare il flusso di registrazione modificando l’hostname o l’identificativo del tenant verso il Tenant B, anche se per il Tenant B la registrazione è disabilitata a livello di interfaccia utente (UI). In altre parole, la disattivazione della registrazione nell’interfaccia non disattiva l’endpoint API sottostante (che accetta ancora richieste cross-tenant basate sull’intestazione Host). NOTA: Il fornitore afferma di aver valutato il report e ha determinato che non è stata superata una boundary di sicurezza (ovvero, il comportamento osservato era un problema di configurazione/stato piuttosto che una vulnerabilità del prodotto sfruttabile che influisce sull’isolamento dei tenant). NOTA: Il fornitore ha valutato questo report e ha stabilito che non è stata oltrepassata una security boundary (cioè, il comportamento rilevato costituiva un problema di configurazione/di stato anziché una vulnerabilità del prodotto sfruttabile con impatto sull’isolamento tra tenant).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.