Как-то раз рассматривая очередной запрос от пользователя на право работы с корпоративной учеткой во внешнем сервисе, наткнулся на странный список URL:

Пробуем перейти по ссылке, нас редиректит на Azure AD Proxy компании Авито.

Получается, данное приложение есть и у других клиентов, что были указаны ранее в "Reply URL" и список верный. Так же в списке довольно странные URL вида localhost.

Как видим автоматом подтянулась моя учетка, поэтому я ее замылил.

Совет разработчикам приложений в Enterprise applications

Необходимо предварительно тестировать в своем тенанте;
Семь раз проверь, один раз опубликуй приложение;

Совет Microsoft

Microsoftреализуйте предварительную проверку "Reply URL" и другого контента, что предлагается к публикации разработчиком приложения Enterprise applications для минимизации подобных ошибок.

Утечка списка клиентов через Microsoft Enterprise applications