Vulnerabilidad en Microsoft Azure API Management (CVE-2025-66390)

En Microsoft Azure API Management hasta el 17-10-2025, cuando el registro de autoservicio (autenticación básica de nombre de usuario/contraseña) está habilitado en el Inquilino A, un atacante puede reutilizar el flujo de registro cambiando el nombre de host o el identificador de inquilino al Inquilino B, incluso cuando el Inquilino B tiene el registro deshabilitado a nivel de la interfaz de usuario. En otras palabras, deshabilitar el registro en la interfaz de usuario no deshabilita el endpoint de la API subyacente (que aún acepta solicitudes entre inquilinos basadas en el encabezado Host). NOTA: El proveedor afirma que evaluaron el informe y determinaron que no cruzaba un límite de seguridad (es decir, el comportamiento observado fue un problema de configuración/estado en lugar de una vulnerabilidad de producto explotable que afectara el aislamiento de inquilinos). NOTA: El proveedor evaluó este informe y determinó que no cruzaba un límite de seguridad (es decir, el comportamiento observado fue un problema de configuración/estado en lugar de una vulnerabilidad de producto explotable que afectara el aislamiento de inquilinos).