Malheureusement, ce genre de chose arrive encore...
Le plus simple est encore de vérifier que la boîte a un programme de bug bounty avant de se lancer. Si ce n'est pas le cas, mieux vaut garder la faille pour soit et espérer qu'il ne sera pas exploité.