Politique de sécurité de nos modules prestashop distribués sur prestashop addons
Nous nous engageons à développer des solutions fiables et à corriger rapidement toute vulnérabilité identifiée.
Si vous pensez avoir découvert un problème de sécurité dans l’un de nos modules, nous vous encourageons à nous le signaler de manière responsable afin que nous puissions le résoudre dans les meilleurs délais.
Votre collaboration est essentielle pour garantir la protection de l’ensemble de la communauté Prestashop.
Signalement d’une vulnérabilité
La sécurité des modules que nous développons pour la marketplace Prestashop est primordiale. C’est pourquoi nous encourageons les chercheurs en sécurité à mener des analyses sur nos modules et à nous signaler toute vulnérabilité identifiée, dans le respect des bonnes pratiques de divulgation responsable.
Si vous pensez avoir découvert une vulnérabilité dans l’un de nos modules, vous pouvez nous la signaler de manière responsable à : security@algo-factory.com
Merci de nous fournir autant d’informations que possible, notamment :
- Nom du module concerné et sa version exacte.
- Version de PrestaShop utilisée (ex : 1.7.8.9, 8.1.3…).
- Description détaillée de la vulnérabilité :
- Ce que vous avez observé,
- Pourquoi cela pose un problème de sécurité.
- Étapes précises pour reproduire l’exploit :
- Instructions pas à pas,
- Captures d’écran ou vidéos si possible.
- Comportement attendu vs comportement observé.
- Type de vulnérabilité (exemples : XSS, SQL Injection, CSRF, RCE, etc.).
- Impact potentiel (exemple : accès non autorisé, vol de données, élévation de privilèges…).
- Configuration particulière si nécessaire (par ex. options du module activées/désactivées).
- Payloads ou exemples de requêtes utilisés pour exploiter la faille.
- Informations sur l’environnement :
- Version de PHP, serveur web utilisé (Apache, Nginx, etc.),
- Système d’exploitation (Linux, Windows…).
Nous vous informons que les découvertes non reproductibles ou n’étant pas directement liées à nos modules seront ignorées.
Notre politique de gestion des vulnérabilités
Conformément à la Charte TouchWeb pour une cybersécurité responsable, notre équipe applique les principes suivants :
- Accusé de réception de tout signalement pertinent sous 7 jours maximum (CVSS ≥ 7.5).
- Analyse d’impact et planification d’un correctif sous 30 jours maximum.
- Publication d’un avis de sécurité avec CVE si le score CVSS est ≥ 7.5.
- Aucune correction ne sera publiée de manière silencieuse.
En parallèle, nous prenons les engagements suivants pour garantir une gestion responsable et éthique des vulnérabilités :
- Ne pas poursuivre les chercheurs agissant de bonne foi, notamment dans le cadre du programme YesWeHack géré par TouchWeb SAS.
- Garantir qu’aucun accord de confidentialité, y compris en marque blanche, ne puisse entraver la publication transparente d’un avis de sécurité avec identifiant CVE, dans le respect de l’état de l’Art.
Nous avons bien conscience que cette transparence est essentielle pour permettre aux tiers concernés (agences, marchands, etc.) de satisfaire à leurs obligations de conformité, notamment dans le cadre du standard PCI-DSS ou de l’une de ses versions allégées, comme la SAQ-A.
Autorisation de publication
Nous autorisons expressément la société TouchWeb SAS à publier les informations relatives aux vulnérabilités corrigées de nos modules sur son site officiel, conformément aux engagements de la Charte de cybersécurité responsable.
Cette publication comprend :
- Un identifiant CVE associé à la vulnérabilité.
- Une note de sécurité décrivant clairement le problème et sa résolution.
- Les versions concernées et la version corrigée.
- Un correctif facile à déployer lorsque la mise à jour n’est pas possible.
- Toute information utile permettant aux utilisateurs et agences de se protéger rapidement.
Publication
Vous trouverez ci-dessous la liste des vulnérabilités de sécurité connues et corrigées :