CVE-2025-66390

ملخص

في Microsoft Azure API Management حتى 2025-10-17، عند تمكين التسجيل الذاتي (مصادقة أساسية باسم المستخدم/كلمة المرور) في المستأجر (Tenant) A، يمكن للمهاجم إعادة استخدام تدفق التسجيل عن طريق تغيير اسم المضيف أو معرّف المستأجر إلى المستأجر B، حتى عندما يكون التسجيل معطلاً في المستأجر B على مستوى واجهة المستخدم. بعبارة أخرى، فإن تعطيل التسجيل في واجهة المستخدم لا يعطّل نقطة نهاية API الأساسية (التي لا تزال تقبل الطلبات عبر المستأجرين بناءً على رأس المضيف Host). ملاحظة: صرّح المورّد بأنه قام بتقييم التقرير وقرر أنه لم يتجاوز حدود الأمان (أي أن السلوك الملاحَظ كان مسألة تكوين/حالة وليس ثغرة منتج قابلة للاستغلال تؤثر على عزل المستأجرين). ملاحظة: قام المورّد بتقييم هذا التقرير وقرر أنه لم يتجاوز حدود الأمان (أي أن السلوك الملاحَظ كان مسألة تكوين/حالة وليس ثغرة منتج قابلة للاستغلال تؤثر على عزل المستأجرين).

• Azure-APIM-Cross-Tenant-Signup-Bypassالبحث

  استشارة أمنية: يتيح Azure APIM Developer Portal تسجيل حسابات عبر المستأجرين عن طريق تجاوز قيود التسجيل في UI. أُبلغ إلى MSRC مرتين - وأُغلق باعتباره «حسب التصميم».

• Azure-APIM-Dev-Portal-Signup-Bypassاستغلال

  سكربت Python لتجاوز التسجيل في Azure APIM عندما تكون الواجهة معطلة، وهذا يختلف عن CVE-2025-66390 لأنه لا يتطلب إعداد أي شيء عبر المستأجرين.