Un error del servidor 500 podría sugerir que hiciste algo que los desarrolladores no esperaban, pero eso no significa que haya una vulnerabilidad. Tal vez solo muestre un mensaje de "intento de piratería evitado" en el registro y le dé un error indescriptible para no darle ninguna información útil.
Cuando esté convencido de que el software no es seguro, puede difundir un poco de FUD en línea sobre el software y los bancos que los usan, pero cualquier reacción que desencadene será una carta de cese y desistimiento por difamación. A menos que tenga un exploit operativo que demuestre que existe una vulnerabilidad, nadie tiene una razón para creer que realmente encontró una.
Pero tratar de encontrar y utilizar un exploit en un sistema de producción que no posee puede ser un acto criminal en muchas partes del mundo y puede llevarlo a graves problemas legales. Cuando desee realizar pruebas de penetración en un software, debe configurar su propia instancia privada. Cuando el software no está disponible de forma gratuita, esto puede ser bastante difícil de hacer.
Informar a los desarrolladores de que es posible que haya encontrado un error en su software es realmente todo lo que puede hacer. Cuando creen que el error no se puede explotar y es poco probable que sea activado por un usuario normal y, por lo tanto, no vale la pena corregirlo, esa es su decisión.