Dossier base44-auth-bypass-wizFuite de modèle et de donnéesIsraël
Wiz découvre un contournement d'authentification exposant des apps privées sur Base44 de Wix
Wiz Research a trouvé des points de terminaison register et verify-otp non documentés qui ne nécessitaient qu'un app_id public pour créer des comptes vérifiés sur des apps Base44 privées, en contournant le SSO. Wix a corrigé dans les 24 heures suivant le signalement du 9 juillet.
ÉlevéeAttaque contre l’IAStatut: CorrigéDossier vérifié
Ouvrir dans la carte interactiveCiter ce dossier
- Signalé le
- 29 juil. 2025
- Lieu
- Israël
- Cible
- Plateforme d'apps IA Base44 (Wix)
- Gravité
- Élevée
- Déclenché par
- Wiz Research
- Type d’acteur
- Chercheurs en sécurité
- Perte déclarée
- Aucune déclarée
- CVE
- Aucun
Ce qui s’est passé
Wiz Research a trouvé des points de terminaison register et verify-otp non documentés qui ne nécessitaient qu'un app_id public pour créer des comptes vérifiés sur des apps Base44 privées, en contournant le SSO. Wix a corrigé dans les 24 heures suivant le signalement du 9 juillet.
Impact: Des chatbots internes, bases de connaissances et apps RH construits sur Base44 étaient exposés à des accès non autorisés
Qui l’a déclenché
Acteur: Wiz Research
Attribution: Divulgation responsable ; aucune preuve d'exploitation malveillante
Mobile: Recherche en sécurité
Comment c’est arrivé
Vecteur d’attaque: Points de terminaison API non authentifiés découverts via une interface Swagger exposée ; app_id visible dans les URL et les manifestes
Cause racine: Les points de terminaison d'authentification ne disposaient d'aucun contrôle d'accès côté plateforme
Chronologie
- Wiz signale la faille à Base44 et Wix
- Déploiement du correctif côté serveur
- Divulgation publique
Réponse
Wix a corrigé côté serveur ; aucune action requise des clients
Statut actuel: Corrigé
Sources (nouvel onglet)
- The Hacker News thehackernews.com
- Infosecurity Magazine infosecurity-magazine.com
- SecurityWeek securityweek.com
Citer ce dossier
Wiz découvre un contournement d'authentification exposant des apps privées sur Base44 de Wix. AI Threat Watch, dossier base44-auth-bypass-wiz, 29 juil. 2025. https://aithreat.io/fr/cases/base44-auth-bypass-wiz/
Lien permanent: https://aithreat.io/fr/cases/base44-auth-bypass-wiz/