Zum Inhalt
Extension Foundry

Sicherheitslücken melden

Sie haben in Kaufquelle oder Produktpass eine Sicherheitslücke gefunden oder vermuten eine? Bitte melden Sie sie uns vertraulich, bevor Sie sie veröffentlichen.

Kontakt

Schreiben Sie an security@extensionfoundry.com mit dem Betreff „Sicherheit Kaufquelle“ oder „Sicherheit Produktpass“.

So melden Sie eine Lücke

  1. Nennen Sie die Version des Plugins (Plug-ins > Plugin-Verwaltung), die Version von JTL-Shop und von PHP.
  2. Beschreiben Sie, was Sie beobachtet haben und wie es sich nachvollziehen lässt.
  3. Schicken Sie keine Daten von Käufern mit, auch keine Bestellnummern, und keine Zugangsdaten.

Was danach geschieht

  1. Sie erhalten eine Eingangsbestätigung innerhalb von zwei Werktagen.
  2. Wir prüfen die Meldung und sagen Ihnen, ob wir die Lücke nachvollziehen können.
  3. Eine bestätigte Lücke beheben wir in einer neuen Version des Plugins. Händler erhalten sie als Update über den JTL Extension Store; das Changelog nennt die Behebung.
  4. Jede Meldung wird mit ihrem Ergebnis in unserem Verzeichnis der Sicherheitslücken festgehalten.

Ob ein Plugin, das über den JTL Extension Store verkauft wird, uns zum Hersteller im Sinne der Verordnung (EU) 2024/2847 (Cyber Resilience Act) macht, ist rechtlich noch nicht geklärt. Bis dahin gehen wir mit Sicherheitslücken so um, als wären wir Hersteller: Aktiv ausgenutzte Lücken melden wir wie in Art. 14 dieser Verordnung beschrieben über die einheitliche Meldeplattform an das zuständige CSIRT, in Deutschland das BSI, und informieren die Nutzer.

Welche Versionen Updates erhalten

Sicherheitsupdates erscheinen für die jeweils neueste Version eines Plugins. Installieren Sie Updates bitte, sobald sie erscheinen.

Reporting a vulnerability (English)

Please report a suspected vulnerability in Kaufquelle or Produktpass confidentially to security@extensionfoundry.com, with the versions of the plugin, JTL-Shop and PHP and the steps to reproduce it, and without any buyer's data. You get an acknowledgement within two working days. A confirmed vulnerability is fixed in a new version, delivered as an update through the JTL Extension Store and named in the changelog.