Galera, fiquem ligados em não simplesmente reportar open redirects sem impacto para os programas de bugbounty e no máximo eles pagarem pra vocês um bounty low.
Conforme o tempo passa, você pode ficar mais seguro de guardar esses low hanging fruits (vulnerabilidades bobinhas) para somar elas e fazer uma chain (cadeia) de vulnerabilidade massa

Por exemplo, se você achar um SSRF e a empresa mitigar com uma allow list só de dominios dela... Você usa o open redirect e ganha o bounty de SSRF novamente, pelo bypass do fixing =)