バイブコーディングプラットフォーム Base44に認証回避の重大な脆弱性|セキュリティとAIのニュース-セキュリティ対策 Lab

投稿日時: 2025年07月31日更新日時: 2025年07月31日

2025年7月29日、クラウドセキュリティ企業Wiz Researchは、AI主導のアプリケーション開発を可能にする「Vibe Coding(バイブコーディング)」プラットフォーム「Base44」において、深刻な認証回避の脆弱性を発見したと発表しました。

Base44は自然言語でアプリ開発が可能なサービスとして急成長し、Wixに買収されて以降も急速にエンタープライズ市場に浸透しています。

1 Vibe CodingとBase44とは何か？
2 発見された脆弱性の概要
3 app_idの入手と侵害の再現性
4 影響範囲と対応状況
5 なぜこの問題は重大なのか
6 Vibe Codingが抱えるセキュリティ課題

Vibe CodingとBase44とは何か？

Vibe Codingとは、OpenAIのアンドレイ・カルパシー氏によって命名された開発アプローチで、ユーザーが自然言語の指示だけでアプリケーションを構築できる手法です。従来のプログラミングスキルを必要とせず、誰もがソフトウェア開発を実現できる環境を提供しています。

Base44はこのVibe Coding分野の代表格で、企業がチャットボットや業務自動化ツール、内部情報管理アプリなどを構築するために広く活用されています。

発見された脆弱性の概要

Wizが発見した脆弱性は、極めて単純な方法でPrivateアプリケーションに不正アクセスできてしまうというものでした。

Base44の内部APIである以下の2つのエンドポイントが認証なしでアクセス可能な状態になっていたのです。

api/apps/{app_id}/auth/register：ユーザー登録
api/apps/{app_id}/auth/verify-otp：ワンタイムパスワードの検証

攻撃者はアプリケーションの app_id さえ分かれば、任意のメールアドレスでユーザー登録し、OTPを使用して認証を完了させることができました。

最も深刻なのは、これが「SSO（シングルサインオン）専用」に設定されていたプライベートアプリケーションに対しても適用できた点です。

app_idの入手と侵害の再現性

app_idは秘密情報ではなく、対象アプリのURLや manifest.json ファイルのパスに明示的に含まれています。

画像：Wiz

つまり、攻撃者は任意のBase44アプリのURLを参照すればapp_idを簡単に取得でき、その情報を用いて自らユーザー登録・OTP認証を完了させ、Privateアプリへ侵入できる状況だったのです。

実際、Wizの研究者はこの手法を使ってSSOで保護された複数の企業向けアプリケーションへの不正ログインを確認しました。

影響範囲と対応状況

Wizは2025年7月9日に脆弱性をWixに報告。
Wixは24時間以内に修正を完了し、7月10日時点で認証バイパスが不可能に。
7月13日には、過去の悪用は確認されていないことを含む正式報告を実施。

Wixの声明によると、現在のところ実際にこの脆弱性が悪用された証拠はなく、全ユーザーに対して安全が確保されているとしています。

なぜこの問題は重大なのか

この脆弱性は、複雑なエクスプロイトを必要とせず、単純なAPI知識さえあれば攻撃可能という点で特に危険です。

しかも対象は、内部チャットボットや機密情報を管理するエンタープライズアプリケーションです。実際にWizの調査では、HR情報やPII（個人識別情報）などの機密データが保存されていたアプリが含まれていたことも確認されています。

また、Vibe Coding ツールという特性上、非エンジニアが利用している場合もありセキュリティーホールが発生しても気づけない可能性があります。

Vibe Codingが抱えるセキュリティ課題

今回の事案は、AI特有のプロンプトインジェクションやモデルの毒性よりも、基礎的な認証設計のミスがセキュリティに深刻な影響を及ぼす例となりました。Vibe Codingプラットフォームは、その構造上すべてのアプリがベンダーの共通インフラ上にホストされるため、認証機構に脆弱性があると全ユーザーが同時にリスクに晒されます。

また、以下のようなリスクも業界全体で報告されています

参照

https://www.wiz.io/blog/critical-vulnerability-base44