Responsible disclosure

We verwelkomen meldingen van beveiligingsonderzoekers en de bredere community. Als je denkt een kwetsbaarheid in een DXPR-product te hebben gevonden, meld deze dan op verantwoorde wijze, zodat we deze kunnen onderzoeken en verhelpen vóór openbare bekendmaking.

Een kwetsbaarheid melden

Stuur je melding naar security@dxpr.com. Vermeld een beschrijving van de kwetsbaarheid, de stappen om deze te reproduceren en de mogelijke impact. Lever indien mogelijk een proof of concept aan. We accepteren meldingen in het Engels en Nederlands.

Reactietermijn

We streven ernaar de ontvangst binnen twee werkdagen te bevestigen en binnen vijf werkdagen een eerste beoordeling te geven. Kritieke kwetsbaarheden krijgen prioriteit en kunnen sneller een reactie ontvangen. We houden je op de hoogte van onze voortgang en stemmen het moment van bekendmaking met je af.

Ondersteunde versies

Beveiligingsfixes worden geleverd voor de huidige stabiele release van elk DXPR-product. Oudere versies die end-of-life hebben bereikt, komen niet in aanmerking voor patches. We raden alle klanten sterk aan hun installaties up-to-date te houden.

• DXPR Builder: huidige stabiele release op drupal.org
• DXPR Theme: huidige stabiele release op drupal.org
• DXPR CMS: huidige stabiele release op drupal.org
• DXPR Cloud (app.dxpr.com): altijd up-to-date

Format van beveiligingsadviezen

Wanneer een kwetsbaarheid is bevestigd en verholpen, publiceren we een beveiligingsadvies met een beschrijving van het probleem, de getroffen versies, de ernstclassificatie (volgens het classificatiesysteem voor Drupal-beveiligingsadviezen) en het aanbevolen upgradepad. Adviezen worden gepubliceerd op drupal.org/security en op de DXPR-blog.

Toepassingsgebied

Dit beleid is van toepassing op DXPR Builder, DXPR Theme, DXPR CMS en het DXPR Cloud-platform. Integraties van derden en kwetsbaarheden in Drupal-core vallen onder het beleid van hun respectievelijke beheerders. Als je niet zeker weet of een probleem binnen het toepassingsgebied valt, meld het dan en wij bepalen wie verantwoordelijk is.

Vrijwaring

We ondernemen geen juridische stappen tegen onderzoekers die dit beleid volgen en te goeder trouw handelen. We vragen je geen gegevens van andere gebruikers te openen of te wijzigen, onze diensten niet te verstoren en bevindingen niet openbaar te maken voordat we een redelijke kans hebben gehad ze te verhelpen.