Politica di sicurezza

Segnalazione di una vulnerabilità

La sicurezza dei nostri moduli e dei nostri clienti è una priorità. Per questo incoraggiamo i ricercatori di sicurezza ad analizzare i nostri moduli e a notificarci qualsiasi vulnerabilità individuata, seguendo le buone pratiche di divulgazione responsabile.

Se ritiene di aver scoperto una vulnerabilità in uno dei nostri moduli, può segnalarcela in modo responsabile tramite: info@idnovate.com.

Fornisca il maggior numero possibile di dettagli (descrizione, impatto, versione interessata, passaggi per riprodurla).

La nostra politica di gestione delle vulnerabilità

In conformità con la Carta della Cybersicurezza Responsabile di TouchWeb, il nostro team applica i seguenti principi:

• Conferma di ricezione di qualsiasi segnalazione rilevante entro un massimo di 7 giorni. (CVSS ≥ 4.0)
• Analisi dell'impatto e pianificazione della correzione entro un massimo di 30 giorni.
• Pubblicazione di un avviso di sicurezza con un ID CVE se il punteggio CVSS è ≥ 7.5.
• Nessuna correzione verrà pubblicata in modo silenzioso.

Parallelamente, assumiamo i seguenti impegni per garantire una gestione responsabile ed etica delle vulnerabilità:

• Non intraprenderemo azioni legali contro i ricercatori che agiscono in buona fede, in particolare nell'ambito del programma YesWeHack gestito da TouchWeb SAS.
• Garantiamo che nessun accordo di riservatezza, anche in contesti white label, impedirà la pubblicazione trasparente di un avviso di sicurezza con un ID CVE, in conformità con le migliori pratiche del settore.

Siamo pienamente consapevoli che questa trasparenza è essenziale affinché le terze parti coinvolte (agenzie, commercianti, ecc.) possano adempiere ai propri obblighi normativi, in particolare nell'ambito dello standard PCI-DSS o di una delle sue versioni semplificate, come SAQ-A.

Autorizzazione alla pubblicazione

Autorizziamo espressamente la società TouchWeb SAS a pubblicare sul proprio sito web ufficiale le informazioni relative alle vulnerabilità corrette nei nostri moduli, in conformità con gli impegni della Carta della Cybersicurezza Responsabile.

Questa pubblicazione può includere:

• Un identificatore CVE associato alla vulnerabilità.
• Un avviso di sicurezza che descriva chiaramente il problema e la sua risoluzione.
• Le versioni interessate e la versione che contiene la correzione.
• Una patch facile da applicare quando l'aggiornamento è difficile da implementare.
• Qualsiasi informazione utile per aiutare utenti e agenzie a proteggersi rapidamente.

Divulgazione

Di seguito è riportato l'elenco delle vulnerabilità di sicurezza note e corrette: