Naar de inhoud
HackIndex
Menu

Research

HackIndex onderzoekt open-source packages, plugins en extensies op kwetsbaarheden en malware. Kwetsbaarheden gaan naar de maintainer, malware naar de store of registry die hem verspreidt.

kwetsbaarheden gemeld
5
bevestigd door maintainers
3
CVE's toegewezen
1
malware-analyses
1
Alles Kwetsbaarheden Malware 1 item
Research
Referentie Onderwerp Soort Ernst Status Datum
HI-MA-2026-001 Verborgen spyware en adware in de browserextensie ModHeader Chrome Web Store en Edge Add-ons Malware Hoog Gepubliceerd 12 jul. 2026

Packagenamen en datums blijven verborgen tot de maintainer een fix heeft uitgebracht. Zo blijven gebruikers van die packages beschermd.

Waarom HackIndex onderzoek doet

Bijna elke app draait op packages, plugins en extensies van anderen. Een kwetsbaarheid in zo'n bouwsteen raakt niet één app, maar alle apps die hem gebruiken tegelijk. Wie die bouwstenen onderzoekt en de fouten laat oplossen, maakt ze veiliger voor iedereen, ook voor klanten van HackIndex.

Het houdt de kennis bovendien scherp. Wat in open-source code misgaat, gaat ook in klantcode mis: rechten die niet worden gecontroleerd, invoer die te veel wordt vertrouwd, sleutels op de verkeerde plek.

Wat er wordt onderzocht

Packages en plugins uit de ecosystemen waar HackIndex dagelijks in werkt, zoals Laravel, WordPress en React Native. En extensies voor browsers en code-editors: die draaien met veel rechten op de computer van een ontwikkelaar, en zijn daarom een geliefd doelwit voor malware.

Een kwetsbaarheid krijgt waar mogelijk een CVE-nummer. Dan herkennen scanners en beheerders hem, en weten gebruikers dat ze moeten updaten.

Van vondst tot publicatie

Zo wordt een kwetsbaarheid gemeld

Malware volgt een sneller pad: die gaat direct naar de store of registry die hem verspreidt.

  1. Melden

    Eerst in stilte bij de maker, via het kanaal dat die zelf aanwijst.

  2. Bevestigen

    Met bewijs en een voorstel voor de oplossing.

  3. Oplossen

    Standaard 90 dagen, langer als de maker zichtbaar bezig is.

  4. Publiceren

    Pas na de fix, met een CVE waar dat kan.

Alle afspraken in de responsible disclosure

Kreeg je een melding van HackIndex?

Dan heeft HackIndex een kwetsbaarheid of kwaadaardige code gevonden in iets wat jij maakt of beheert. Zo gaat het verder.

  • Is de melding echt? Een melding komt van een adres op hackindex.nl en noemt een referentie zoals HI-SA-2026-001. Twijfel je, mail dan zelf naar het adres in security.txt en vraag het na.

  • Het kost niets. HackIndex vraagt nooit om geld, een beloning of een opdracht in ruil voor een melding.

  • Wat er van je gevraagd wordt: een bevestiging dat de melding is aangekomen, een oplossing en het versienummer waarin die zit.

  • Hoeveel tijd je hebt: 90 dagen voor een oplossing, de publicatie volgt 30 dagen later. Meer tijd nodig? Mail dan, een termijn is bespreekbaar zolang er aan een oplossing wordt gewerkt.

  • Wat er wordt gepubliceerd: de getroffen en opgeloste versies, de ernst, wat gebruikers moeten doen en de tijdlijn. Normaal pas na de fix. Komt er geen oplossing, dan volgt na 90 dagen alleen een waarschuwing zonder technische details.

Alle termijnen en afspraken staan in de responsible disclosure.

Los van klantwerk

Research gebeurt los van opdrachten. Code van klanten wordt nooit als onderzoeksmateriaal gebruikt, en een bevinding uit een opdracht komt nooit op deze pagina.