Уязвимость, что делать?

То же, что и любая другая компания, узнавшая о том, что у них воруют: закроют уязвимость и/или обратятся в суд.

К сожалению, текущие нормы законодательства в РФ (мы про РФ говорим?) не предполагают "белого хакерства".
Таким образом искать уязвимости может только человек, которого специально для этого наняли (ну или у кого это есть в обязанностях).

История знает разные исходы таких ситуаций - вполне счастливые (денежная премия и/или оффер), средние (нет премии, но обошлось без проблем) и плохие (вплоть до реального срока).

Как поступать - решать только Вам. Однако в любом случае стоит не эксплуатировать эту уязвимость. С другой стороны если Вы просто будете молчать и пользоваться инетом - вероятный максимум ответственности это лишь компенсация, максимум за 3 года.