Sicherheitspolitik

🚨 Melden einer Schwachstelle

Die Sicherheit unserer Module und unserer Kunden hat oberste Priorität. Daher ermutigen wir Sicherheitsexperten, unsere Module zu analysieren und gefundene Schwachstellen im Einklang mit den Best Practices der verantwortungsvollen Offenlegung zu melden.

Wenn Sie glauben, eine Schwachstelle in einem unserer Module entdeckt zu haben, können Sie diese verantwortungsvoll melden an: info@idnovate.com.

Bitte geben Sie so viele Details wie möglich an (Beschreibung, Auswirkungen, betroffene Version, Schritte zur Reproduktion).

📜 Unsere Richtlinie zum Schwachstellenmanagement

Gemäß der TouchWeb-Charta für verantwortungsvolle Cybersicherheit wendet unser Team die folgenden Grundsätze an:

• Bestätigung jeder relevanten Meldung innerhalb von maximal 7 Tagen. (CVSS ≥ 4.0)
• Analyse der Auswirkungen und Planung eines Fixes innerhalb von maximal 30 Tagen.
• Veröffentlichung eines Sicherheitshinweises mit einer CVE-ID, wenn der CVSS-Score ≥ 7.5 beträgt.
• Es wird niemals ein Fix stillschweigend veröffentlicht.

Darüber hinaus verpflichten wir uns zu einer verantwortungsvollen und ethischen Behandlung von Schwachstellen:

• Wir werden keine rechtlichen Schritte gegen Forscher einleiten, die in gutem Glauben handeln, insbesondere im Rahmen des von TouchWeb SAS verwalteten YesWeHack-Programms.
• Wir garantieren, dass keine Vertraulichkeitsvereinbarung – auch nicht im White-Label-Kontext – die transparente Veröffentlichung eines Sicherheitshinweises mit CVE-ID verhindert, im Einklang mit den besten Branchenpraktiken.

Uns ist bewusst, dass diese Transparenz entscheidend ist, damit alle beteiligten Dritten (Agenturen, Händler usw.) ihre Compliance-Verpflichtungen erfüllen können – insbesondere im Rahmen des PCI-DSS-Standards oder vereinfachter Varianten wie SAQ-A.

🛡️ Veröffentlichungserlaubnis

Wir erteilen der Firma TouchWeb SAS ausdrücklich die Erlaubnis, Informationen über behobene Schwachstellen in unseren Modulen auf ihrer offiziellen Website zu veröffentlichen, im Einklang mit den Verpflichtungen der Charta für verantwortungsvolle Cybersicherheit.

Diese Veröffentlichung kann Folgendes enthalten:

• Eine CVE-Kennung, die der Schwachstelle zugeordnet ist.
• Einen Sicherheitshinweis mit klarer Beschreibung des Problems und der Lösung.
• Die betroffenen Versionen und die Version mit dem Fix.
• Einen leicht anwendbaren Patch, wenn ein Update schwer umzusetzen ist.
• Nützliche Informationen, um Nutzern und Agenturen zu helfen, sich schnell zu schützen.

🔍 Offenlegung

Nachfolgend finden Sie eine Liste bekannter und behobener Sicherheitslücken: