Informé sobre una vulnerabilidad en una organización X y ellos afirman que ya lo saben y que están trabajando para solucionarlo.
Me pregunto si varias personas reportan la misma vulnerabilidad a una organización, ¿todos deberían obtener el crédito? ¿Debo obtener el crédito por la vulnerabilidad?
Si está hablando de solo otorgar crédito, a la Compañía le parecerá educado dar crédito a los reporteros de una vulnerabilidad no revelada. Consulte esta publicación , por ejemplo.
Si estás hablando de una recompensa, entonces la convención es que generalmente irá al primer buscador. En esta publicación , el CEO de BugCrowd (se ejecutan programas de recompensas de errores) menciona que dan "Kudos" pero insinúa que solo el primer reportero obtiene la recompensa.
Lea otras preguntas en las etiquetas vulnerability disclosure