案例 base44-auth-bypass-wiz模型与数据泄露以色列
Wiz发现认证绕过漏洞，暴露Wix Base44平台上的私有企业应用
Wiz Research发现未公开的register和verify-otp端点仅需公开的app_id即可在私有Base44应用上创建已验证账户，绕过SSO。Wix在7月9日报告后24小时内修复。
高针对 AI 的攻击状态: 已修补已核实案例档案
- 报道日期
- 2025年7月29日
- 地点
- 以色列
- 目标
- Base44（Wix）AI应用平台
- 严重程度
- 高
- 发起者
- Wiz Research
- 行为者类型
- 安全研究人员
- 已报告损失
- 未报告
- CVE
- 无
发生了什么
Wiz Research发现未公开的register和verify-otp端点仅需公开的app_id即可在私有Base44应用上创建已验证账户，绕过SSO。Wix在7月9日报告后24小时内修复。
影响: 基于Base44构建的内部聊天机器人、知识库和HR应用面临未授权访问
谁发起了攻击
行为者: Wiz Research
归因: 负责任披露；无恶意利用证据
动机: 安全研究
如何发生
攻击途径: 通过暴露的Swagger UI发现的未经身份验证的API端点；app_id在URL和清单中可见
根本原因: 平台侧的身份验证端点缺乏访问控制
时间线
- Wiz向Base44和Wix报告漏洞
- 服务器端修复部署
- 公开披露
应对
Wix在服务器端修补；客户无需采取行动
当前状态: 已修补
来源（在新标签页打开）
- The Hacker News thehackernews.com
- Infosecurity Magazine infosecurity-magazine.com
- SecurityWeek securityweek.com
引用此案例
Wiz发现认证绕过漏洞，暴露Wix Base44平台上的私有企业应用. AI Threat Watch, 案例 base44-auth-bypass-wiz, 2025年7月29日. https://aithreat.io/zh/cases/base44-auth-bypass-wiz/