CVE-2025-66390
En Microsoft Azure API Management hasta el 17-10-2025, cuando el registro de autoservicio (autenticación básica de nombre de usuario/contraseña) está...
- Publicado
- 21 jul 2026
- Actualizado
- 22 jul 2026
- Asignación de CNA
- mitre
- Evidencia observada
- 5 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 37,5 %
- Fecha del modelo
- 25 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
En Microsoft Azure API Management hasta el 17-10-2025, cuando el registro de autoservicio (autenticación básica de nombre de usuario/contraseña) está habilitado en el Inquilino A, un atacante puede reutilizar el flujo de registro cambiando el nombre de host o el identificador de inquilino al Inquilino B, incluso cuando el Inquilino B tiene el registro deshabilitado a nivel de la interfaz de usuario. En otras palabras, deshabilitar el registro en la interfaz de usuario no deshabilita el endpoint de la API subyacente (que aún acepta solicitudes entre inquilinos basadas en el encabezado Host). NOTA: El proveedor afirma que evaluaron el informe y determinaron que no cruzaba un límite de seguridad (es decir, el comportamiento observado fue un problema de configuración/estado en lugar de una vulnerabilidad de producto explotable que afectara el aislamiento de inquilinos). NOTA: El proveedor evaluó este informe y determinó que no cruzaba un límite de seguridad (es decir, el comportamiento observado fue un problema de configuración/estado en lugar de una vulnerabilidad de producto explotable que afectara el aislamiento de inquilinos).
Fuentes
- Azure-APIM-Cross-Tenant-Signup-BypassInvestigación
Aviso de seguridad: Azure APIM Developer Portal permite el registro de cuentas entre inquilinos al eludir las restricciones de registro de la interfaz de usuario. Reportado a MSRC dos veces - cerrado como «por diseño».
Script en Python para eludir el registro (signup) de Azure APIM cuando la interfaz de usuario (UI) está deshabilitada; esto es diferente de CVE-2025-66390, ya que no requiere configurar nada entre inquilinos (cross tenant).
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.