Утечка списка клиентов через Microsoft Enterprise applications

Как-то раз рассматривая очередной запрос от пользователя на право работы с корпоративной учеткой во внешнем сервисе, наткнулся на странный список URL:

Пробуем перейти по ссылке, нас редиректит на Azure AD Proxy компании Авито.

Получается, данное приложение есть и у других клиентов, что были указаны ранее в «Reply URL» и список верный. Так же в списке довольно странные URL вида localhost.

Как видим автоматом подтянулась моя учетка, поэтому я ее замылил.

Совет разработчикам приложений в Enterprise applications

• Необходимо предварительно тестировать в своем тенанте;

• Семь раз проверь, один раз опубликуй приложение;

Совет Microsoft

Microsoftреализуйте предварительную проверку «Reply URL» и другого контента, что предлагается к публикации разработчиком приложения Enterprise applications для минимизации подобных ошибок.