Un rapporto di vulnerabilità del prodotto è una segnalazione formale che descrive un possibile difetto in un prodotto software, una libreria o un servizio. Di solito spiega quale comportamento è errato, dove si verifica il problema e perché può creare un rischio per la sicurezza. Nei programmi di bug bounty e di ricompensa per vulnerabilità, questi rapporti rappresentano il punto di ingresso per la revisione, la validazione e un'eventuale compensazione.
Nella sicurezza informatica, il valore di un rapporto dipende dalla qualità, non dal volume. Chi esegue la revisione ha bisogno di passaggi chiari per riprodurre il problema, delle versioni interessate o dei percorsi di codice coinvolti e di prove dell'impatto, come un arresto anomalo, l'esposizione di dati o un uso improprio dei privilegi. Gli attaccanti possono usare lo stesso tipo di analisi per individuare debolezze da sfruttare, mentre i difensori si affidano ai rapporti per dare priorità alle correzioni prima che l'abuso si diffonda. Rapporti ben scritti aiutano i team di sicurezza a distinguere le vulnerabilità reali dal rumore vago o generato automaticamente.