- Top reward
- No cash rewards
- Top severity paid
- Not published
- Assets in scope
- 1
- Public CVEs
- 0
- Last change
- No changes yet
At a glance
What to know before you start testing.
- No cash rewards
- A disclosure program: you report for credit, not money.
- Report by email
- [email protected]
- Partial safe harbor
- Some legal protection; read the terms.
- Replies within 3 days
- As the policy promises.
- Publish after a fix
- Coordinate the timing with the company.
Rewards
What the company's own policy page says it pays.
This program does not pay cash rewards.
- Response
-
Within 3 days
Wij reageren binnen 3 werkdagen op uw melding met onze beoordeling en een verwachte datum voor een oplossing.
- Safe harbor
-
Partial
Als u zich aan de onderstaande voorwaarden houdt, zullen wij geen juridische stappen tegen u ondernemen betreffende de melding. Het Openbaar Ministerie behoudt zich echter het recht voor om zelf te beslissen over eventuele strafrechtelijke vervolging.
- Hall of fame
-
Yes
Wij bieden de mogelijkheid om jouw naam te plaatsen in onze Hall of Fame als erkenning, na het melden van een valide en serieuze kwetsbaarheid.
Summarised with AI from the company's policy, read 12 Nov 2026, and checked word for word against it. Read the original
Scope
1 asset you may test.
Domains 1
- tudelft.nl
Rules
What the policy asks of you, and the bug types it won't reward, quoted from TU Delft's policy.
While testing
-
Uw bevindingen zo snel mogelijk te mailen naar [email protected] .
-
De kwetsbaarheid niet te misbruiken door bijvoorbeeld meer data te downloaden dan nodig is om het lek aan te tonen of door het veranderen of verwijderen van gegevens.
-
De kwetsbaarheid niet met anderen te delen totdat wij hebben aangegeven dat de kwetsbaarheid is opgelost en gedeeld mag worden.
-
Geen gebruik te maken van aanvallen op fysieke beveiliging of applicaties van derden, van social engineering, distributed denial-of-service, of spam.
-
Voldoende informatie te geven om de kwetsbaarheid te reproduceren zodat wij het zo snel mogelijk kunnen oplossen.
-
Ons beleid voor responsible disclosure is geen uitnodiging om ons universiteitsnetwerk actief te scannen op zwakke plekken.
Not accepted
-
HTTP 404-pagina’s of andere HTTP-codes die geen 200 status opleveren, evenals content spoofing of tekstinvoeging op deze pagina’s.
-
Vingerafdrukken en andere methoden om versies te detecteren die openbaar worden gedeeld.
-
Clickjacking of kwetsbaarheden die alleen via clickjacking misbruikt kunnen worden.
-
Ingeschakelde HTTP OPTIONS-methode.
-
SSL-configuratieproblemen zoals geen SSL-forward secrecy ingeschakeld of zwakke cipher suites.
-
SPF, DKIM, DMARC-problemen.
-
Het melden van verouderde versies van software zonder proof of concept of werkende exploit.
-
Meldingen die als beg bounty worden beschouwd, worden niet verwerkt of beantwoord.
Summarised with AI from the company's policy, read 12 Nov 2026, and checked word for word against it. Read the original
Changes
Tracked since 11 Nov 2026. Last checked 3 hours ago.
No changes yet. When the rewards or scope move, you will see it here and in the RSS feed.
Public CVEs
Published vulnerabilities in this vendor's products, from the NVD.
No CVEs matched yet. We match NVD records by vendor name, so products sold under another name can be missing.