۱. هر نوع گزارش بدون داشتن اکسپلویت و سناریو قابل بهره‌برداری.
۲. آسیبپذیریهای MITM.
۳. آسیب‌پذیری‌هایی که قبلاً توسط سایر متخصصین گزارش شده باشد.
۴. آسیب‌پذیری‌هایی که از نظر Root Cause با باگ‌های گزارش شده قبلی در پلتفرم باگ‌بانتی یکسان باشند.
۵. آسیب‌پذیری‌هایی که به ۳ مرحله یا بیشتر نیاز به تعامل با کاربر داشته باشند.
۶. صفحات ادمین قابل دسترس بدون نفوذ.
۷. حملات مهندسی اجتماعی و Phishing.
۸. حملات از کار اندازی سرویس (DoS/DDoS).
۹. آسیب‌پذیری‌هایی که در دامنه‌ها و آدرس‌های IP غیر از محدوده مجاز هدف باشد.
۱۰. گزارش‌های ارائه شده توسط اسکنر‌ها و سایر ابزارهای اتوماتیک، بدون ارایه اکسپلویت.
۱۱. آسیبپذیریهای مربوط به نشت اطلاعات سرور و پیکربندی نادرست آن، مثل نسخه و نوع وب سرور.
۱۲. آسیبپذیریهای مربوط به SSL و Best Practice های مربوط به آن.
۱۳. آسیبپذیریهای مربوط به مرورگرهای قدیمی.
۱۴. آسیبپذیریهای مربوط به حملات فیزیکی.
۱۵. آسیبپذیریهای Content Spoofing.
۱۶. آسیبپذیری SSRF بدون اکسپلویت و یا با داشتن صرفا DNS query.
۱۷. آسیبپذیریهای Clickjacking در صورتی که در صفحات حساس نباشد.
۱۸. آسیبپذیریهای self*.
۱۹. حملات Brute Force به غیر از موارد مربوط به Captcha، شناسایی کدهای OTP، پارامترهایی که بر اساس الگو (pattern) مانند datetime , id است.
۲۰. تمامی آسیبپذیریهای مربوط به وردپرس.
۲۱. Best Practiceها، شامل حداقل طول کلمات عبور و غیره.
۲۲. موارد مربوط به رکوردهای DNS مرتبط با Email و نامه‌نگاری الکترونیکی جعلی (E-mail spoofing).
۲۳. گزارش پایین بودن ورژن کتابخانه‌ها و نرم‌افزار‌های به‌کار برده شده.
۲۴. آسیبپذیریهای مربوط به هدرها و header injection و پروتکل http و پارامترهای آن بدون ارایه سناریوی قابل بهره برداری.
۲۵. موارد Option Index اگر به داده حساس نرسد.
۲۶. هر مورد مربوط به بدست آوردن نام‌های کاربری با استفاده از Enumeration (account/e-mail/phone).
۲۷. آسیب پذیری های CSRF مربوط به logout.
۲۸. تمامی آسیبپذیریهای مربوط به Email validation not enforced.
۲۹. آسیبپذیریهای مربوط به Cookie valid after password change/reset یا session fixation در صورتی که تاثیری حیاتی بر کاربران نداشته باشد.
۳۰. تمامی آسیبپذیریهای مربوط به Domain authentication.
۳۱. آسیبپذیری CORS misconfiguration بدون اکسپلویت.
۳۲. پیداکردن IPهای پشت CDN بدون داشتن سناریو و اکسپلویت برای حمله‌ای تاثیرگذار یا اینکه در بخش قابل قبول نیامده باشد.
۳۳. آسیبپذیری Information Disclousre بدون داشتن سناریویی برای بهره‌برداری و اکسپلویت.
۳۴. آسیبپذیری Crossdomain.xml.
۳۵. آسیبپذیری تزریق csv.
۳۶. آسیب‌پذیری‌هایی که تاثیر آن تنها بر سمت دستگاه کاربر (Client) باشد.(نرم‌افزار اندروید)
۳۷. آسیب‌پذیری‌هایی که مهندسی معکوس،دیکامپایل و موارد مشابه باشد.(نرم‌افزار اندروید)
۳۸. آسیب‌پذیری‌هایی که نیاز به دسترسی فیزیکی به دستگاه اندرویدی را دارد یا آسیبپذیری که خطری کاربران را تهدید نمی کند.(نرم‌افزار اندروید)
۳۹. آسیبپذیری Open Redirect.
۴۰. آسیبپذیریهای Input Validation مربوط به منطق برنامه و نوع ورودی.
۴۱. فعال بودن حالت دیباگر.
۴۲. مشاهده شدن ایندکس فایل در صورتی که منجر به خطر خاصی نشود.
۴۳. مواردی که از مسیرهای مختلف منتهی به یک مقصد می‌شود، تکراری شمرده می‌شوند.
۴۴. تمامی مواردی که Rate Limit در ایجاد آن تاثیر دارد.
۴۵. تمامی مواردی که اختلال یا باگ با ابزارهای Load Test ایجاد شود.
۴۶. هرگونه اضافه شدن دیتای اضافی به دیتابیس که سناریوی مخربی نداشته باشد.
۴۷. آسیبپذیریهای XSS که فقط روی دستگاه مهاجم Render شود.
۴۸. سناریوهایی که پس از انجام فرایند سیستمی به صورت انسانی عملیاتی انجام می‌شود که همراه با چک کردن داده هاست (توسط ادمین، مدیر کمپین، واحد مالی و … )
