Expediente base44-auth-bypass-wizFiltración de modelos y datosIsrael
Wiz halla bypass de autenticación que expone apps empresariales privadas en Base44 de Wix
Wiz Research halló endpoints no documentados register y verify-otp que solo necesitaban un app_id público para crear cuentas verificadas en apps privadas de Base44, eludiendo el SSO. Wix lo corrigió en menos de 24 horas tras el reporte del 9 de julio.
AltaAtaque a la IAEstado: ParcheadoExpediente verificado
Abrir en el mapa interactivoCitar este expediente
- Reportado
- 29 jul 2025
- Ubicación
- Israel
- Objetivo
- Plataforma de apps con IA Base44 (Wix)
- Gravedad
- Alta
- Provocado por
- Wiz Research
- Tipo de actor
- Investigadores de seguridad
- Pérdida reportada
- Ninguna reportada
- CVE
- Ninguno
Qué ocurrió
Wiz Research halló endpoints no documentados register y verify-otp que solo necesitaban un app_id público para crear cuentas verificadas en apps privadas de Base44, eludiendo el SSO. Wix lo corrigió en menos de 24 horas tras el reporte del 9 de julio.
Impacto: Chatbots internos, bases de conocimiento y apps de RR. HH. construidas sobre Base44 quedaron expuestas a acceso no autorizado
Quién lo provocó
Actor: Wiz Research
Atribución: Divulgación responsable; sin evidencia de explotación maliciosa
Motivo: Investigación de seguridad
Cómo ocurrió
Vector de ataque: Endpoints de API sin autenticación descubiertos mediante una Swagger UI expuesta; app_id visible en URL y manifiestos
Causa raíz: Los endpoints de autenticación carecían de controles de acceso del lado de la plataforma
Cronología
- Wiz reporta la falla a Base44 y Wix
- Se despliega la corrección del lado del servidor
- Divulgación pública
Respuesta
Wix parcheó del lado del servidor; los clientes no necesitaron hacer nada
Estado actual: Parcheado
Fuentes (pestaña nueva)
- The Hacker News thehackernews.com
- Infosecurity Magazine infosecurity-magazine.com
- SecurityWeek securityweek.com
Citar este expediente
Wiz halla bypass de autenticación que expone apps empresariales privadas en Base44 de Wix. AI Threat Watch, expediente base44-auth-bypass-wiz, 29 jul 2025. https://aithreat.io/es/cases/base44-auth-bypass-wiz/
Enlace permanente: https://aithreat.io/es/cases/base44-auth-bypass-wiz/