Mendix Pentesting

Mendix-applicaties zijn anders opgebouwd dan traditionele applicaties en kennen daardoor hun eigen securityrisico’s. Daarom testen we gericht op kwetsbaarheden die specifiek zijn voor het platform en maken we zichtbaar wat een aanvaller kan uitbuiten.

Plan een gesprek
Vraag een offerte aan

Low-code lost niet alles op

Mendix maakt het makkelijker om snel applicaties te bouwen en door te ontwikkelen. Low-code neemt daarbij werk uit handen, maar developers blijven verantwoordelijk voor de security van hun applicatie.

Developers bouwen productie-apps
zonder securityachtergrond

Mendix verlaagt de drempel om software te bouwen, maar niet iedere developer is getraind om als een aanvaller te denken. Daardoor kunnen securityfouten ongemerkt onderdeel worden van een applicatie.

Je dependencies blijven veranderen

Je Mendix-applicatie blijft zich ontwikkelen met nieuwe functionaliteiten, Marketplace-modules, Java-libraries en API- en SSO-koppelingen. Marketplace-modules zijn daarbij afhankelijk van andere componenten en libraries, waardoor updates, wijzigingen en configuratiefouten nieuwe beveiligingsrisico’s in je applicatie kunnen introduceren.

Je Mendix-app gaat live. Maar is hij al getest?

Een late pentest kan bevindingen opleveren die invloed hebben op de planning, risicoacceptatie of release.

AI vergroot je aanvalsoppervlak

AI-agents worden steeds vaker onderdeel van Mendix-applicaties en brengen nieuw gedrag, nieuwe datastromen en aanvalspaden met zich mee. De vraag is of jouw securityaanpak hetzelfde tempo bijhoudt.

Zo stellen we je security op de proef

Onze aanpak gaat verder dan een standaardpentest. Vanuit onze jarenlange ervaring met Mendix ontwikkelden we een Top 10 van Mendix-specifieke kwetsbaarheden waarop we iedere applicatie testen, waarbij we onderzoeken hoe een aanvaller rollen, entiteiten, microflows, integraties en maatwerk kan misbruiken.

Bepaal wat je wilt testen

De Mendix expert bepaalt samen met jou de scope, doelstellingen, onderzoeksvragen en planning. We leggen dit vast in een scopedocument, zodat jouw organisatie weet wat we aanvallen, hoe we testen en wat buiten scope valt.

Bereid de pentest voor

Voor de pentest zorgen we dat alles klaarstaat. Samen met je team controleren we toegang, testaccounts, omgevingen, eventuele escalatiepaden en technische vereisten. Zo voorkomen we onnodige vertraging en gebruiken we de testtijd waarvoor die bedoeld is: kwetsbaarheden vinden.

Zoek naar kwetsbaarheden

Onze pentesters zoeken binnen de afgesproken scope naar kwetsbaarheden, Mendix-specifieke risico’s en kwetsbaarheden in de bedrijfslogica. Ze valideren hun bevindingen en onderzoeken wat een aanvaller ermee kan bereiken. De Lead Pentester blijft je vaste aanspreekpunt en houdt je tijdens de test op de hoogte.

Zet findings om in inzicht

De pentesters bundelen de bevindingen en aanbevelingen in een helder pentestrapport. Een onafhankelijke pentester reviewt het rapport op kwaliteit en nauwkeurigheid, zodat je een betrouwbare basis hebt voor herstelmaatregelen en securitybeslissingen.

Bespreek de resultaten en bepaal
de volgende stap

Na de pentest nemen we samen het rapport door en bespreken we de findings in detail. We adviseren over de aanpak en het oplossen van kwetsbaarheden, zodat je team weet wat er moet gebeuren en waar de prioriteit ligt.

Wat je van ons ontvangt

Na iedere pentest ontvang je één complete rapportage waarin we de technische bevindingen vertalen naar concrete risico’s en acties voor zowel technische teams als management.

Technisch rapport

Een gedetailleerd overzicht van de gevonden kwetsbaarheden, inclusief technisch bewijs en advies om deze te verhelpen.

Managementsamenvatting

De belangrijkste bevindingen, risico’s en impact vertaald naar informatie waar het management op kan sturen.

Risicoprioritering

Findings geprioriteerd op ernst en impact, zodat duidelijk is welke kwetsbaarheden als eerste aandacht nodig hebben.

Mitigatieadvies

Concrete aanbevelingen om de gevonden kwetsbaarheden te verhelpen en de bijbehorende risico’s te verkleinen.

Jouw aanspreekpunt

“Kwetsbaarheden vinden is maar een deel van het verhaal. Pas als je test wat een aanvaller daadwerkelijk kan uitbuiten, zie je waar het echte risico zit.”

Dirk van Veen

Oprichter en Lead Pentester

Stel een vraag

Getest in de echte wereld

Zie wat er gebeurt wanneer onze hackers echte omgevingen op de proef stellen en na de eerste finding verder blijven graven.

PDF-generatie als aanvalspad naar server secrets | What The Hack

Een PDF-generator in een applicatie met gevoelige persoonsgegevens vormde een onverwacht aanvalspad.

Door gebruikersinput te manipuleren en de onderliggende PDF-library te misbruiken, wist onze pentester een HTML-injectie uit te breiden naar lokale bestandstoegang. Daarmee kwamen credentials voor Keycloak, databases, Amazon S3-buckets en interne systemen bloot te liggen. De findings laten zien waarom het beperken van procesrechten en isoleren van componenten belangrijk is om te voorkomen dat één kwetsbaarheid verder escaleert.

Databasetoegang via Time-Based SQL Injection | What The Hack

Een geautomatiseerde scan signaleerde een mogelijke SQL-injectie in een applicatie met gevoelige persoonsgegevens, maar de finding moest nog handmatig worden gevalideerd.

Onze pentester bevestigde en exploiteerde de kwetsbaarheid en ontdekte drie kwetsbare parameters. Eén daarvan was voldoende om volledige toegang te krijgen tot een database met gevoelige gegevens van meer dan 1.200 organisaties. De findings laten zien waarom handmatige validatie van geautomatiseerde resultaten en veilige verwerking van gebruikersinput belangrijk zijn om SQL-injectie te voorkomen.

Veel gestelde vragen

Hoe lang duurt een Mendix-pentest?
Dat hangt af van de omvang, complexiteit en scope van de omgeving die we testen. Tijdens de scoping bepalen we wat we moeten testen en spreken we vóór de start een realistische planning af.

Een standaardpentest test een applicatie op veelvoorkomende securitykwetsbaarheden. Een Mendix-pentest richt zich daarnaast op risico’s die specifiek zijn voor het Mendix-platform, waaronder onze Top 10 Mendix-kwetsbaarheden, gebaseerd op zwakke plekken die we herhaaldelijk tegenkomen tijdens het testen van Mendix-applicaties.

Onze Mendix-pentesters hebben de Mendix Fundamentals- en Advanced-trainingen doorlopen en voeren regelmatig pentests uit voor Mendix zelf. Daardoor kennen ze het platform door en door en blijven ze op de hoogte van de laatste ontwikkelingen binnen Mendix.
We starten met een duidelijke scope, doelstellingen en een technisch aanspreekpunt. Afhankelijk van de test hebben we daarnaast testaccounts, toegang tot specifieke omgevingen of andere informatie nodig om de afgesproken scope realistisch te testen.

Haal meer uit je Mendix-pentest

Red Teaming

Ga verder dan de afgebakende scope van een pentest en test of een realistische aanvaller een specifiek doel kan bereiken zonder gedetecteerd of gestopt te worden.
Lees meer

Mendix Security leerlijn

Leer veelvoorkomende Mendix-kwetsbaarheden herkennen en voorkomen tijdens een praktische training waarin we security vanuit het perspectief van een aanvaller benaderen.

Mendix Capture The Flag

Ga zelf aan de slag met realistische Mendix-kwetsbaarheden en ontdek in een interactieve CTF hoe een aanvaller deze vindt, combineert en misbruikt.

Klaar om je Mendix-applicatie
op de proef te stellen?

Heb je de scope al scherp of weet je nog niet precies wat je wilt testen? We helpen je met de juiste offensieve aanpak.
Plan een gesprek