Досье base44-auth-bypass-wizУтечка модели и данныхИзраиль
Wiz обнаружила обход аутентификации, раскрывающий приватные корпоративные приложения на платформе Base44 от Wix
Wiz Research нашла недокументированные эндпоинты register и verify-otp, которым для создания верифицированных учётных записей в приватных приложениях Base44 требовался только публичный app_id, что позволяло обойти SSO. Wix исправила проблему в течение 24 часов после отчёта от 9 июля.
ВысокаяАтака на ИИСтатус: ИсправленПроверенное досье
Открыть на интерактивной картеЦитировать это досье
- Дата сообщения
- 29 июл. 2025
- Локация
- Израиль
- Цель
- ИИ-платформа для создания приложений Base44 (Wix)
- Критичность
- Высокая
- Инициатор
- Wiz Research
- Тип субъекта
- Исследователи безопасности
- Сектор
- Технологии и вендоры ИИ
- Заявленные убытки
- Не заявлены
- CVE
- Нет
Что произошло
Wiz Research нашла недокументированные эндпоинты register и verify-otp, которым для создания верифицированных учётных записей в приватных приложениях Base44 требовался только публичный app_id, что позволяло обойти SSO. Wix исправила проблему в течение 24 часов после отчёта от 9 июля.
Последствия: Внутренние чат-боты, базы знаний и HR-приложения, построенные на Base44, были открыты для несанкционированного доступа
Кто стоит за инцидентом
Субъект: Wiz Research
Атрибуция: Ответственное раскрытие; свидетельств злонамеренной эксплуатации нет
Мотив: Исследование безопасности
Как это произошло
Вектор атаки: Неаутентифицированные API-эндпоинты, обнаруженные через открытый Swagger UI; app_id виден в URL и манифестах
Первопричина: Эндпоинты аутентификации на стороне платформы не имели контроля доступа
Хронология
- Wiz сообщает об уязвимости в Base44 и Wix
- Развёрнуто исправление на стороне сервера
- Публичное раскрытие
Реагирование
Wix выпустила исправление на стороне сервера; от клиентов действий не требовалось
Текущий статус: Исправлен
Источники (открываются в новой вкладке)
- The Hacker News thehackernews.com
- Infosecurity Magazine infosecurity-magazine.com
- SecurityWeek securityweek.com
Цитировать это досье
Wiz обнаружила обход аутентификации, раскрывающий приватные корпоративные приложения на платформе Base44 от Wix. AI Threat Watch, досье base44-auth-bypass-wiz, 29 июл. 2025. https://aithreat.io/ru/cases/base44-auth-bypass-wiz/
Постоянная ссылка: https://aithreat.io/ru/cases/base44-auth-bypass-wiz/