Надо ли сообщать о найденной уязвимости?

в текстовик напишите и все.... они поймут...

Хех) Ну начнем с того что "Волков бояться...".
Если захотят - найдут, даже не отправив им report c Вашей стороны.
Если все это делалось (как я полагаю - все-же попробовали пароль от админки?), с толком, и хотя-бы элементарным канальным шифрования подключения (смотря как еще взаимодействовали кроме ftp), а лучше в комплексе - аля vpn / vps / vds.
Уж вряд ли думаю за баг репорт будут копаться...

Используйте тикеты на сайте/сайтах (электронную почту лучше сразу отбросить), другие контактные данные с начальством: icq/ IM/ skype/ номер телефона (фри смс с сайта оператора).

Ну и конечно если у них попахивает web dev'ом, то можно поискать Bug Tracking System, пускай даже будет только для team разрабов. Так сказать приятно удивите их )

А так просто сообщите и не паранойте, забугром такие повадки оценивают и благодарят не только словом.
В РФ же максимум - словом, и еще хорошо если добрым )) Но абузить Ваш IPшник никто не будет. По крайней мере серьезные компании..
Да и с "обратной стороны" вопрос уже обсуждался
Comments

Может быть мне просто везло, но мои попытки сообщить о какой-либо уязвимости НИКОГДА не расценивались как взлом. Оставляют без элементарного "спасибо" и исправляют уязвимость часто, ещё чаще благодарят (на вознаграждение я всегда намекаю), но ни разу не пытались угрожать.

На всякий случай вы можете сообщить об уязвимости анонимно