Base44: privé-apps open met alleen een app-ID
Bedrijven bouwen op Base44 interne apps. Door een fout in het platform kon iedereen met één ID een account maken op zo'n privé-app.
Wat er gebeurde
Base44 is een vibe coding-platform dat Wix in 2025 kocht. Bedrijven bouwen er interne apps mee.
Wiz Research vond twee niet-gedocumenteerde API-endpoints: één voor registratie en één voor verificatie met een eenmalige code per e-mail. Die vroegen geen authenticatie. Met alleen het app_id van een app kon een aanvaller een geverifieerd account aanmaken op een privé-app en de beveiliging omzeilen, ook SSO. Dat app_id staat gewoon in de URL van de app en in het manifest.json.
Wiz zag het werken bij apps voor interne chatbots, kennisbanken, en HR en persoonsgegevens. Wiz meldde het op 9 juli 2025. Wix dichtte het binnen 24 uur en zei geen bewijs van misbruik te hebben gevonden. Op 29 juli 2025 werd het openbaar.
De oorzaak
Het platform zelf had een achterdeur in het inloggen. De bouwers van de apps konden die niet zien en niet repareren.
De schade
Er is geen bron die misbruik aantoont. Tot de fix stond elke privé-app op Base44 open. Hoeveel apps dat waren, staat niet in de bronnen.
Wat beheer anders had gedaan
Eerlijk is eerlijk: een fout in het platform zelf kan een beheerder niet repareren.
Wat wel kan: gevoelige interne data niet op een no-code-platform zetten zonder een tweede laag ervoor, zoals een netwerkbeperking, een VPN of een aparte login. Meldingen van de leverancier volgen. En na zo'n melding in de toegangslogs kijken of er onbekende accounts zijn bijgekomen.
Beheer haalt niet elk risico weg. Het zorgt wel dat iemand kijkt voordat het misgaat, en dat er een back-up ligt als het toch gebeurt.