Если компания не ИТ-профиля, это будет непростой квест.
Для начала ваше описание уязвимости должно дойти до человека, который способен его понять (и может быть среагировать). То есть вам нужно пробиться через первую линию поддержки, вторую линию, их начальство, и бог знает кого еще, вплоть до директора по продажам :) (крайний случай, если с ИТ процессами там все плохо). Поэтому сначала вам придется писать на языке, понятном этим людям. И описывать не уязвимость, а ее возможные последствия для бизнеса. Причем это дложны быть очень конкретные вещи, а не абстрактные понятия. Типа «можно будет выкачать весь каталог с ценами», «получить все email-ы сотрудников», «повесить порнобаннеры» и т.д. Результат первого уровня — контакты админа или разработчика и обязательно руководства.
Дальше уже пишите админу об уязвимости, а руководству — о ситуации в целом, «уведомлены такие-то сотрудники, срок до публикации столько-то дней, проконтролируйте».
Да, быть этичным непросто.
Простой
