Zweckverband Kommunale Datenverarbeitung Oldenburg
Vulnerability disclosure program on security.txt kdo.de
- Top reward
- No cash rewards
- Top severity paid
- Not published
- Assets in scope
- 2
- Public CVEs
- 0
- Last change
- No changes yet
At a glance
What to know before you start testing.
- No cash rewards
- A disclosure program: you report for credit, not money.
- Report by email
- [email protected]
- Partial safe harbor
- Some legal protection; read the terms.
- Replies within 3 days
- As the policy promises.
Rewards
What the company's own policy page says it pays.
This program does not pay cash rewards.
- Response
-
Within 3 days
Wir informieren dich (i.d.R.) in den ersten 72 Stunden über den Eingang deiner Meldung.
- Safe harbor
-
Partial
Wenn du deine Sicherheitsforschung nach dieser Policy durchführst, wird die KDO selbst keine Strafanzeige erstatten und keine zivilrechtlichen oder sonstigen rechtlichen Schritte gegen dich einleiten, soweit dies in ihrer eigenen Entscheidungsbefugnis liegt.
- Hall of fame
-
Yes
Dazu werden wir auf unserer Dankesseite die Beschreibung der geschlossenen Schwachstelle und deinen Namen (bzw. den Alias) des Entdeckers nennen, um so eine gute Zusammenarbeit mit der KDO auch öffentlich zum Ausdruck zu bringen.
Summarised with AI from the company's policy, read 12 Nov 2026, and checked word for word against it. Read the original
Scope
2 assets you may test.
Domains 1
- kdo.de
Products and areas 1
- alle digitalen Vermögenswerte, die dem Zweckverband Kommunale Datenverarbeitung Oldenburg und deren Tochterfirmen angehören oder von ihr verwaltet werden
Rules
What the policy asks of you, and the bug types it won't reward, quoted from Zweckverband Kommunale Datenverarbeitung Oldenburg's policy.
While testing
-
Bitte sende uns alle notwendigen Informationen zur entdeckten Schwachstelle per E-Mail an [email protected].
-
Bitte achte darauf, dass deine Schwachstellenforschung nicht zu einer Verletzung des Datenschutzes, zur Störung unserer Produktivsysteme oder Zerstörung oder Veränderung von Daten führen.
-
Bitte verzichte darauf, im Rahmen deiner Forschung Social-Engineering,- DDOS-, oder Spam-Attacken auf die KDO oder ihre Tochterunternehmen durchzuführen.
-
Bitte nutze für deine Schwachstellen-Analyse ausschließlich eigene Konten.
-
Beteiligen dich nicht an Erpressungen.
Not accepted
-
Angriffe, die einen physischen Zugriff auf das Gerät oder Netzwerk eines Benutzers erfordern.
-
Formulare mit fehlenden CSRF-Token (Ausnahme: Die Kritikalität übersteigt das Common Vulnerability Scoring System (CVSS) Stufe 5.).
-
Fehlende Security Header, die nicht direkt zu einer ausnutzbaren Schwachstelle führen.
-
Die Verwendung einer als anfällig oder öffentlich als gebrochen bekannte Bibliothek (ohne aktiven Nachweis der Ausnutzbarkeit).
-
Host Header Injection.
-
Logout Cross-Site Request Forgery.
-
Berichte von automatisierten Tools oder Scans ohne Dokumentation, welche die Schwachstelle erläutert.
-
Social Engineering gegen Personen (z.B. Phishing) oder Einrichtungen der KDO sowie deren Auftragnehmer und Auftraggeber.
-
Physische Angriffe auf unser Eigentum oder unsere Rechenzentren.
-
Denial of Service Angriffe (DoS/DDoS).
-
Bots, SPAM,
-
Fehlende Einreichung von Best Practices (B. Certificate Pinning, Security Header).
-
Fehlende Cookie Flags bei Non-Sensitive Cookies.
-
Verwendung von anfälligen und „schwachen“ Cipher-Suites / Chiffren.
-
Fehler in der Benutzeroberfläche oder Rechtschreibfehler.
Summarised with AI from the company's policy, read 12 Nov 2026, and checked word for word against it. Read the original
Changes
Tracked since 11 Nov 2026. Last checked 3 hours ago.
No changes yet. When the rewards or scope move, you will see it here and in the RSS feed.
Public CVEs
Published vulnerabilities in this vendor's products, from the NVD.
No CVEs matched yet. We match NVD records by vendor name, so products sold under another name can be missing.