Вопрос такой, если я нашёл уязвимости где и как их публиковать?
Для начала лучше обратиться в контору, которая допустила данную уязвимость. Уточнить сроки и обратную связь. Спросить разрешение, после устранения, опубликовать. Если конечно вы не ищете из этого другой выгоды)