Skip to content
bugbounty.fyi
Get paid to secure open source 475 paid open-source programs on Sorona, up to $1M Perk Low bugs: $100 or 1 mo Claude Max

Also on Patchstack. All 476 paid open-source programs

Try

Highest paying Newly launched Paid without KYC Full safe harbor
All results

About this site

ANWB

Vulnerability disclosure program on security.txt anwb.nl

Accepting reports security.txt
Go to program Website
Top reward
No cash rewards
Top severity paid
Not published
Assets in scope
1
Public CVEs
0
Last change
No changes yet

At a glance

What to know before you start testing.

No cash rewards
A disclosure program: you report for credit, not money.
Report by email
[email protected]
Replies within 3 days
As the policy promises.

Rewards

What the company's own policy page says it pays.

This program does not pay cash rewards.

Response
Within 3 days Binnen drie werkdagen ontvang je een e-mail met een eerste reactie.

Summarised with AI from the company's policy, read 12 Nov 2026, and checked word for word against it. Read the original

Scope

1 asset you may test.

Domains 1

  • anwb.nl

Rules

What the policy asks of you, and the bug types it won't reward, quoted from ANWB's policy.

While testing

  • Zorg ervoor dat je tijdens het onderzoeken van de gevonden kwetsbaarheid geen schade aanricht.
  • Maak geen gebruik van social engineering om toegang te krijgen tot een systeem.
  • In geen geval mag je onderzoek leiden tot onderbreking van onze online dienstverlening.
  • In geen geval mag je onderzoek leiden tot openbaarmaking van ledengegevens / klantgegevens.
  • Plaats geen backdoor in een systeem. Ook niet om de kwetsbaarheid aan te tonen.
  • Wijzig of verwijder geen gegevens in het systeem.
  • Breng geen systeemveranderingen aan.
  • Probeer niet vaker dan nodig een systeem binnen te dringen.
  • Gebruik geen bruteforce-technieken (herhaaldelijk proberen van wachtwoorden) om toegang tot systemen te krijgen.

Not accepted

  • Alle meldingen zonder een duidelijk rapport met het bewijs van mogelijke exploitatie
  • Ons beleid ten aanzien van de aanwezigheid of afwezigheid van DNSSEC / SPF / DKIM / DMARC records
  • Cross Site Request Forgery (CSRF) kwetsbaarheden on statische pagina’s (alleen op pagina’s na inloggen)
  • Redirection van HTTP naar HTTPS
  • HTML does not specify charset
  • HTML uses unrecognized charset
  • Cookie zonder HttpOnly vlag
  • Geen gebruik van HTTP Strict Transport Security (HSTS)
  • Clickjacking of de afwezigheid van X-Frame-Options op niet inlog pagina’s
  • Het cachen van HTTPS antwoord pagina’s
  • User enumeration op websites
  • Mogelijk verouderde server- of applicatie versies (van externe partijen) zonder bewijs dat deze versies kwetsbaar zijn en bewijs van exploitatie.
  • Rapporten van onveilige SSL / TLS protocollen en andere misconfiguraties
  • Generieke kwetsbaarheden gerelateerd aan software of protocollen die niet onder controle van ANWB vallen
  • Distributed Denial of Service (DDoS) aanvallen
  • Spam of Social Engineering technieken
  • Rapporten van reguliere scans zoals poortscanners

Summarised with AI from the company's policy, read 12 Nov 2026, and checked word for word against it. Read the original

Changes

Tracked since 11 Nov 2026. Last checked 2 hours ago.

No changes yet. When the rewards or scope move, you will see it here and in the RSS feed.

Public CVEs

Published vulnerabilities in this vendor's products, from the NVD.

Search NVD

No CVEs matched yet. We match NVD records by vendor name, so products sold under another name can be missing.