Пять уязвимостей в Azure API Connections: полная кросс-арендная компрометация за $200 000
Исследователь обнаружил пять уязвимостей в Azure API Connections (Logic Apps), позволяющих полностью скомпрометировать любую другую учётную запись (tenant) и получить доступ к Key Vault, Azure SQL, Jira, Salesforce. Проблема в архитектуре: злоумышленник может заставить API Management выполнить запрос от имени жертвы. За находки выплачено $200 000.