Pregúntate si es recomenadable que te lo hagan a ti o que preferirías en el caso de tener una web vulnerable, ahí está la respuesta.
En mi opinión lo propio es avisar al propietario de que tiene una vulnerabilidad, y si pasa del tema pues tomar como respuesta que te está dejando que te aproveches de ello.