Kritiek lek ontdekt bij “vibe coding” platform Base44
Het zijn onderzoekers van cloudbeveiliger Wiz die het lek naar buiten brachten, maar pas nadat het al gedicht was. Wix, de websitebouwer die achter Base44 zit, werd door Wiz op 9 juli op de hoogte gebracht en binnen 24 uur al werd er een update uitgerold om het probleem op te lossen.
Er is dus snel gereageerd, maar dat was ook nodig. Het ging immers om een lek dat op de schaal voor kwetsbaarheden een score van 9,8 op 10 kreeg. Via het lek was het mogelijk om toegang te krijgen tot privé-apps die met Base44 gemaakt waren, apps dus die niet openbaar beschikbaar mogen zijn. Volgens Wix zijn er wel geen aanwijzingen dat de exploit effectief misbruikt geweest is.
Simpel maar ernstig lek
Wat de onderzoekers van Wiz verbaasde, was de eenvoud van het lek. Ze ontdekten namelijk twee verborgen internetadressen (zogenoemde API-endpoints) die geen enkele controle uitvoerden op het loginsysteem. Daardoor was het mogelijk om je als nieuwe gebruiker te registreren en meteen de e-mailverificatie af te ronden zonder die écht te moeten doorlopen. Deed je dat door het “app_id” (dat in de url van elke app vermeld staat) in te vullen in de registratielink, dan kreeg je meteen ook toegang tot de app in kwestie.
Op deze manier kon iedereen met slechte intenties dus zomaar aan alle apps van Base44, of ze nu privé stonden of niet. Gelukkig hebben alle betrokken partijen snel gereageerd, al is het toch weer een les dat online beveiliging niet vanzelfsprekend is.
