CVE-2025-66390 in Azure API Management
요약
\~에 의해 VulDB • 2026. 07. 21.
Microsoft Azure API Management(2025-10-17 버전 포함)에서 Tenant A의 셀프 서비스 가입(username/password Basic Authentication 방식)이 활성화되어 있을 경우, 공격자는 호스트 이름이나 테넌트 식별자를 Tenant B로 변경하여 등록 흐름을 재사용할 수 있습니다. 이는 UI 수준에서 Tenant B의 가입 기능이 비활성화되어 있더라도 마찬가지입니다. 즉, UI에서 가입 기능을 비활성화해도 underlying API 엔드포인트는 여전히 활성화된 상태로 유지되며(Host 헤더를 기반으로 크로스 테넌트 요청을 허용함) 이로 인해 취약점이 발생합니다. 참고: 공급업체는 이 보고서를 평가한 결과 보안 경계를 넘지 않는다고 판단했으며, 관찰된 동작은 제품 결함이 아닌 구성/상태 문제였으며 테넌트 격리에 영향을 미치는 실행 가능한 제품 취약점은 아니라고 밝혔습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.