Skip to content
bugbounty.fyi
Get paid to secure open source 475 paid open-source programs on Sorona, up to $1M Perk Low bugs: $100 or 1 mo Claude Max

Also on Patchstack. All 476 paid open-source programs

Try

Highest paying Newly launched Paid without KYC Full safe harbor
All results

About this site

BerlinOnline GmbH

Vulnerability disclosure program on security.txt berlin.de

Accepting reports Full safe harbor security.txt
Go to program Website
Top reward
No cash rewards
Top severity paid
Not published
Assets in scope
2
Public CVEs
0
Last change
No changes yet

At a glance

What to know before you start testing.

No cash rewards
A disclosure program: you report for credit, not money.
Report through their form
berlin.de/.well-known/security.txt
Full safe harbor
Good-faith research is authorised; no legal action.
Publish after a fix
Coordinate the timing with the company.

Rewards

What the company's own policy page says it pays.

This program does not pay cash rewards.

Safe harbor
Full Wir werden bei einer verantwortungsbewussten Offenlegung einer Schwachstelle (Responsible Disclosure) keinen Rechtsweg einschlagen.
Hall of fame
Yes Wir werden auf einer Dankesseite die Beschreibung der geschlossenen Schwachstelle und falls gewünscht auch einen Namen oder Alias veröffentlichen.

Summarised with AI from the company's policy, read 12 Nov 2026, and checked word for word against it. Read the original

Scope

2 assets you may test.

Domains 2

  • berlin.de
  • berlinonline.net

Rules

What the policy asks of you, and the bug types it won't reward, quoted from BerlinOnline GmbH's policy.

While testing

  • Beachten Sie bitte den Geltungsbereich (nur genannte Webseiten) und nicht qualifizierte Schwachstellen (kein Social-Engineering, DDoS u.a.)
  • Nutzen Sie die Schwachstelle oder das Problem nicht aus.
  • Laden Sie beispielsweise nicht unberechtigt Daten herunter oder hoch und verändern bzw. löschen Sie keine Daten.
  • Laden Sie keinen Code hoch.
  • Geben Sie Informationen über die Schwachstelle nicht an Dritte weiter, außer dies wurde durch uns schriftlich freigegeben.
  • Stellen Sie uns ausreichend Informationen zur Verfügung, damit wir das Problem reproduzieren und analysieren können (URL-Bereich, Zeitpunkt, Daten zur Reproduktion, ggf. User-Agent oder ähnliches).
  • Stellen Sie bitte auch eine Kontaktmöglichkeit für Rückfragen bereit.
  • Bots richten sich bitte nach den Regeln in der robots.txt

Not accepted

  • kein Social-Engineering, DDoS u.a.
  • Ergebnisse von automatisierten Tools müssen erklärt werden und eine relevante Schwachstelle darstellen
  • Keine Verletzung der Privatsphäre von Mitarbeitenden und Beteiligten.
  • Kein Social Engineering oder Angriffe, die einen physischen Zugriff auf das Gerät oder Netzwerk eines Benutzenden erfordern
  • Keine Durchführung eines DDoS
  • Keine Massen-Registrierung oder Massen-Versendung von Kontakt-Formularen
  • Kein SPAM

Summarised with AI from the company's policy, read 12 Nov 2026, and checked word for word against it. Read the original

Changes

Tracked since 11 Nov 2026. Last checked 3 hours ago.

No changes yet. When the rewards or scope move, you will see it here and in the RSS feed.

Public CVEs

Published vulnerabilities in this vendor's products, from the NVD.

Search NVD

No CVEs matched yet. We match NVD records by vendor name, so products sold under another name can be missing.