CVE-2025-66390

总结

在 Microsoft Azure API Management 中，截至 2025-10-17 版本，当在租户 A 中启用自助注册（用户名/密码基本身份验证）时，攻击者可以通过更改主机名或租户标识符来复用注册流程，从而针对租户 B 进行注册，即使租户 B 已在 UI 层面禁用注册。换言之，在 UI 中禁用注册并不会禁用底层 API 端点（该端点仍会基于 Host 标头接受跨租户请求）。注意：供应商表示，他们已评估该报告并确定其未跨越安全边界（即，观察到的行为属于配置/状态问题，而非影响租户隔离的可利用产品漏洞）。注意：供应商评估了该报告并确定其未跨越安全边界（即，观察到的行为属于配置/状态问题，而非影响租户隔离的可利用产品漏洞）。

• Azure-APIM-Cross-Tenant-Signup-Bypass研究

  安全公告：Azure APIM 开发者门户可通过绕过 UI 注册限制实现跨租户账户注册。已两次上报 MSRC——均以“按设计（by design）”关闭。

• Azure-APIM-Dev-Portal-Signup-Bypass漏洞利用

  当 UI 被禁用时，用于绕过 Azure APIM 注册的 Python 脚本，这与 CVE-2025-66390 不同，因为它不需要你在跨租户之间设置任何内容。