脆弱性は見つからなかったけど報告したらポイントもらえた

またまたbugcrowedでバグ探し。
XSS以外の脆弱性の見付け方が知りたいです。

で、パラメータで任意のurlを渡せるページがありCSP対策されていたのですが、
IEとEDGEでは外部リソースにアクセス出来たので駄目元で報告したらポイントだけ貰えました。