Часто сталкиваюсь с такой ситуацией: обнаружил уязвимость, всё аккуратно оформил - скрины, описание, даже PoC, отправляешь, а в ответ либо игнор, либо "спасибо, подумаем". Если заказчик со стороны или сами владельцы сайта - им реально всё равно, пока снаружи всё работает и жалоб нет. Можно, конечно, свалить на их ответственность, мол, если взломают - сами виноваты, но обычно это не помогает.

Я пробовал два варианта. Первый - упор на бизнес-риски: потеря данных, слив клиентской базы, удар по репутации и, как следствие, финансовые потери. Второй - показать пример эксплуатации уязвимости или демонстрацию, как её можно использовать. В первом случае обычно слышишь "мы сейчас не готовы этим заниматься", во втором - иногда начинаются сдвиги.

Минус второго - возможен конфликт и потеря доверия, плюс заказчик боится больших правок. Но этот способ чаще работает, чем просто "поправьте, пожалуйста". Ещё вариант - предложить минимальные исправления, которые хоть частично закроют дыру, чтобы не лезть глубоко в код и инфраструктуру. Но суть в одном - без реального осознания рисков или демонстрации проблемы владельцы почти никогда не двинутся без какого-то давления.