netclusive
Vulnerability disclosure program on security.txt netclusive.de
- Top reward
- No cash rewards
- Top severity paid
- Not published
- Assets in scope
- 8
- Public CVEs
- 0
- Last change
- No changes yet
At a glance
What to know before you start testing.
- No cash rewards
- A disclosure program: you report for credit, not money.
- Report by email
- [email protected]
- Full safe harbor
- Good-faith research is authorised; no legal action.
- Publish after a fix
- Coordinate the timing with the company.
Rewards
What the company's own policy page says it pays.
This program does not pay cash rewards.
- Pays cash
-
No
Wir betreiben derzeit kein bezahltes Bug-Bounty-Programm .
- Safe harbor
-
Full
Sofern Sie die nachstehenden Bedingungen einhalten, ist es nicht unsere Absicht, gegen Sie einen Strafantrag zu stellen, soweit gesetzlich zulässig,
- Hall of fame
-
Yes
Anerkennung in unserer Hall of Fame auf Wunsch
Summarised with AI from the company's policy, read 12 Nov 2026, and checked word for word against it. Read the original
Scope
8 assets you may test, 9 excluded.
Domains 2
- netclusive.com
- netclusive.de
Wildcard domains 2
- *.netclusive.com
- *.netclusive.de
APIs 1
- API-Endpunkte
Products and areas 3
- Bestellprozess
- Kundenbereich
- Login-Flows
Out of scope (9)
- Denial-of-Service-Angriffe, Lasttests, Brute-Force-Versuche
- Fehlende oder „schwache“ HTTP-Security-Header ohne nachgewiesene Auswirkung
- Generischer Scanner-Output ohne Reproduktionspfad und ohne demonstrierten Impact
- Hinweise auf fehlende Rate-Limits, sofern wirksame Limits bereits existieren
- Inhalte und Konfigurationen auf Kundenwebseiten (diese verantworten unsere Kundinnen und Kunden selbst)
- Schwachstellen in Drittsystemen, die wir lediglich einbinden
- Self-XSS, Logout-CSRF, Clickjacking ohne sicherheitsrelevante Aktion
- SPF/DKIM/DMARC-Konfigurationshinweise ohne konkreten Spoofing-Beleg
- TLS-/Cipher-Konfigurations-Hinweise auf Best-Practice-Niveau
Rules
What the policy asks of you, and the bug types it won't reward, quoted from netclusive's policy.
While testing
-
Test in gutem Glauben, ohne Schaden für unsere Systeme oder Kundendaten anzurichten
-
Kein Zugriff auf Kunden- oder Drittpersonendaten über das für den Nachweis Notwendige hinaus
-
Keine öffentliche Veröffentlichung vor Behebung der Schwachstelle
-
Keine Erpressungs- oder Drohgesten gegen netclusive oder Kunden
-
Einhaltung des anwendbaren Rechts
-
Sie melden uns die Schwachstelle vor einer Veröffentlichung und geben uns angemessene Zeit zur Behebung (in der Regel 90 Tage, bei kritischen Schwachstellen entsprechend kürzer im Einzelfall).
-
Sie greifen nicht auf Kunden- oder Drittpersonendaten zu und laden, verändern, löschen oder geben diese nicht weiter, soweit das nicht für einen minimalen Proof-of-Concept erforderlich ist.
Not accepted
-
Fehlende oder „schwache“ HTTP-Security-Header ohne nachgewiesene Auswirkung
-
SPF/DKIM/DMARC-Konfigurationshinweise ohne konkreten Spoofing-Beleg
-
TLS-/Cipher-Konfigurations-Hinweise auf Best-Practice-Niveau
-
Generischer Scanner-Output ohne Reproduktionspfad und ohne demonstrierten Impact
-
Denial-of-Service-Angriffe, Lasttests, Brute-Force-Versuche
-
Self-XSS, Logout-CSRF, Clickjacking ohne sicherheitsrelevante Aktion
-
Schwachstellen in Drittsystemen, die wir lediglich einbinden
-
Inhalte und Konfigurationen auf Kundenwebseiten (diese verantworten unsere Kundinnen und Kunden selbst)
-
Hinweise auf fehlende Rate-Limits, sofern wirksame Limits bereits existieren
Summarised with AI from the company's policy, read 12 Nov 2026, and checked word for word against it. Read the original
Changes
Tracked since 12 Nov 2026. Last checked 3 hours ago.
No changes yet. When the rewards or scope move, you will see it here and in the RSS feed.
Public CVEs
Published vulnerabilities in this vendor's products, from the NVD.
No CVEs matched yet. We match NVD records by vendor name, so products sold under another name can be missing.