Уязвимость - это и так опасно, не только для создателя, поэтому я считаю благородным делом сообщать об уязвимостях. Но если хочешь помочь создателю, то лучше сообщить ему лично.