Laatst bijgewerkt: 9 september 2026.
Wij publiceren PrestaShop-modules die in de winkels van anderen draaien. Een kwetsbaarheid in één daarvan is een kwetsbaarheid in elke winkel die de module heeft geïnstalleerd. Wij horen dus veel liever van u dan niet.
Hoe u meldt
Mail security@boutiqueshop-modules.com met daarin:
- om welke module en welke versie het gaat (de versie staat in
config.xmlen op de pagina van de module in de beheeromgeving), - de PrestaShop- en PHP-versie waarop u het zag,
- wat een aanvaller ermee zou kunnen bereiken, en
- de stappen om het te reproduceren — een proof of concept is welkom.
Gebruikt u liever geen e-mail voor dit adres, dan bereikt info@boutiqueshop-modules.com dezelfde persoon.
Wat wij toezeggen
| Ontvangstbevestiging | binnen 1 werkdag (maandag t/m vrijdag) |
| Beoordeling en een plan | binnen 3 werkdagen |
| Fix uitgebracht | binnen 48 werkuren na bevestiging van een echte kwetsbaarheid, voor alles wat op afstand misbruikt kan worden |
| Vermelding | in de changelog, als u dat wilt — geef door welke naam wij mogen gebruiken |
De eerste twee zijn dezelfde toezegging die wij aan betalende klanten doen. De derde is de termijn waaraan onze marktplaatsovereenkomst ons houdt, en wij noemen die liever publiekelijk dan dat wij er een interne doelstelling van maken.
Wat wij van u vragen
- Geef ons een redelijke kans om het op te lossen voordat u publiceert. Wij vragen u niet om eindeloos te zwijgen, en wij zullen u niet bedreigen wanneer u te goeder trouw meldt.
- Test op uw eigen installatie. Test niet op winkels van anderen, benader geen gegevens die niet van u zijn, en voer geen denial-of-service- of spamtests uit.
- Meld wat u hebt gevonden, niet hoe ver u had kunnen komen.
Buiten scope
- PrestaShop zelf — meld dat bij het PrestaShop-project.
- Modules en thema's van derden die wij niet hebben geschreven.
- Bevindingen van geautomatiseerde scanners zonder aangetoonde impact.
- Ontbrekende hardening-headers op de marketingsite zonder misbruikbaar gevolg.
Geen bug bounty
Wij zijn een eenmanszaak en kennen geen betaald bugbountyprogramma. Wij vermelden u, lossen het snel op, en bedanken u fatsoenlijk.