Existe um template que já é validado por grandes empresas para report de vulnerabilidades. O mais famoso é o da OWASP, mas tem outros.

https://owasp.org/www-community/vulnerabilities/Vulnerability_template