# Research

HackIndex onderzoekt open-source packages, plugins en extensies op kwetsbaarheden en malware.

- [HI-SA-2026-003: Onveilige deserialisatie in statamic/importer](https://hackindex.nl/research/hi-sa-2026-003), Kwetsbaarheid, Hoog, Gepubliceerd
- [HI-SA-2026-002: Toegangscontrole wordt niet afgedwongen in ai-openrouter-gateway](https://hackindex.nl/research/hi-sa-2026-002), Kwetsbaarheid, Hoog, Gepubliceerd
- [HI-SA-2026-001: Stored XSS in parallax/filament-comments](https://hackindex.nl/research/hi-sa-2026-001), Kwetsbaarheid, Kritiek, Gepubliceerd
- [HI-MA-2026-001: Verborgen spyware en adware in de browserextensie ModHeader](https://hackindex.nl/research/hi-ma-2026-001), Malware, Hoog, Gepubliceerd
- HI-SA-2026-005: Ontbrekende autorisatie, Kwetsbaarheid, Kritiek, In behandeling
- HI-SA-2026-004: Inefficiënte reguliere expressie, Kwetsbaarheid, Hoog, In behandeling

Packagenamen en datums blijven verborgen tot de maintainer een fix heeft uitgebracht. Zo blijven gebruikers van die packages beschermd.

## Waarom HackIndex onderzoek doet

Bijna elke app draait op packages, plugins en extensies van anderen. Een kwetsbaarheid in zo'n bouwsteen raakt niet één app, maar alle apps die hem gebruiken tegelijk. Wie die bouwstenen onderzoekt en de fouten laat oplossen, maakt ze veiliger voor iedereen, ook voor klanten van HackIndex.

Het houdt de kennis bovendien scherp. Wat in open-source code misgaat, gaat ook in klantcode mis: rechten die niet worden gecontroleerd, invoer die te veel wordt vertrouwd, sleutels op de verkeerde plek.

## Wat er wordt onderzocht

Packages en plugins uit de ecosystemen waar HackIndex dagelijks in werkt, zoals Laravel, WordPress en React Native. En extensies voor browsers en code-editors: die draaien met veel rechten op de computer van een ontwikkelaar, en zijn daarom een geliefd doelwit voor malware.

Een kwetsbaarheid krijgt waar mogelijk een CVE-nummer. Dan herkennen scanners en beheerders hem, en weten gebruikers dat ze moeten updaten.

## Zo wordt een kwetsbaarheid gemeld

Malware volgt een sneller pad: die gaat direct naar de store of registry die hem verspreidt.

1. **Melden**: Eerst in stilte bij de maker, via het kanaal dat die zelf aanwijst.
2. **Bevestigen**: Met bewijs en een voorstel voor de oplossing.
3. **Oplossen**: Standaard 90 dagen, langer als de maker zichtbaar bezig is.
4. **Publiceren**: Pas na de fix, met een CVE waar dat kan.

[Alle afspraken in de responsible disclosure](https://hackindex.nl/security)

## Kreeg je een melding van HackIndex?

Dan heeft HackIndex een kwetsbaarheid of kwaadaardige code gevonden in iets wat jij maakt of beheert. Zo gaat het verder.

- **Is de melding echt?** Een melding komt van een adres op hackindex.nl en noemt een referentie zoals HI-SA-2026-001. Twijfel je, mail dan zelf naar het adres in [security.txt](https://hackindex.nl/.well-known/security.txt) en vraag het na.
- **Het kost niets.** HackIndex vraagt nooit om geld, een beloning of een opdracht in ruil voor een melding.
- **Wat er van je gevraagd wordt:** een bevestiging dat de melding is aangekomen, een oplossing en het versienummer waarin die zit.
- **Hoeveel tijd je hebt:** 90 dagen voor een oplossing, de publicatie volgt 30 dagen later. Meer tijd nodig? Mail dan, een termijn is bespreekbaar zolang er aan een oplossing wordt gewerkt.
- **Wat er wordt gepubliceerd:** de getroffen en opgeloste versies, de ernst, wat gebruikers moeten doen en de tijdlijn. Normaal pas na de fix. Komt er geen oplossing, dan volgt na 90 dagen alleen een waarschuwing zonder technische details.

[Alle termijnen en afspraken staan in de responsible disclosure.](https://hackindex.nl/security)

## Los van klantwerk

Research gebeurt los van opdrachten. Code van klanten wordt nooit als onderzoeksmateriaal gebruikt, en een bevinding uit een opdracht komt nooit op deze pagina.