我正在学习当地机构的在线课程。最近，我注意到他们不会散列密码，因为他们通过电子邮件以明文形式向我发送了我的密码。
该网站有很多个人信息，所以我决定测试它的安全性。
经过几分钟的私信系统测试，我发现你可以查看、删除、回复任何用户名的任何消息。另外，他们最近向每个人发送了一条带有密码的消息，因此我可以看到每个人的密码。XSS 攻击也是可能的。
我已经报告了这些漏洞，但它仍然没有被修补（它只有一个星期，但如果我负责这样的系统，我不会在一切都修复之前睡觉）。
我怎样才能让他们正确保护他们的网站？我自己的个人信息在这里也有风险。
（为了确保没有更多与此相关的答案，我非常了解法律。这并没有改变这样一个事实，即有一天，有人会做我所做的事，但意图不善。）
因此，根据您居住的国家/地区，您可能有几种选择，但首先要注意。
您“测试”了该站点，然后报告了您的发现。在许多国家/地区，如果应用程序所有者想要证明您“入侵”了他们，他们可以这样做，这可能对您不利。我这样说只是为了让你在考虑采取其他行动时权衡一下。我将搁置有关黑客攻击的更多法律内容，因为它已在其他答案中涵盖。
基本上，让他们解决这个问题的主要方法是将这个问题报告给负责数据保护的监管机构/政府机构（例如在英国，信息专员），因为他们似乎没有采取适当的措施来保护他们正在处理的个人数据。如果监管机构就问题与他们联系，这可能会让他们解决问题。
另一种选择是尝试通过发布漏洞的详细信息来吸引对该网站的不良宣传。这可能会产生预期的影响，但请注意可能的副作用是他们可能会对您采取法律行动（再次取决于司法管辖区，他们对安全的态度等）
”所以我决定测试一下它的安全性如何。 ” 还有就是你越界的地方。除非您获得“测试”安全性的明确许可，否则您将触犯法律。
“超过授权” CFAA 将“超过授权访问”一词定义为“通过授权访问计算机，并使用这种访问权限来获取或更改计算机中访问者无权获取或更改的信息”。 18 USC § 1030(e)(6)。” https://ilt.eff.org/index.php/Computer_Fraud_and_Abuse_Act_%28CFAA%29
现在谈谈您的其他评论：“我自己的个人信息在这里也有风险。 ”要求删除您的数据，因为您不希望处于不安全的系统上。但是，正如我最初所说，除非您明确允许测试他们的网站，否则我会远离这样做。
我要编辑我的评论。虽然我发布了有关美国法律的信息，但这是因为我来自美国。我没有看到其他国家未经许可进行测试是不合法的。回答您的编辑西蒙：“这并没有改变这样一个事实，即有一天，有人会做我所做的事情，但出于恶意”这完全无关紧要。为什么要打破任何法律来证明一个观点。如果您反对将您的信息存储在该服务器上，请让他们将其删除。
虽然您最初的想法是通过暴露风险来“帮助”那些发布信息的人（您也可能如此），但在某些情况下，暴露“缺陷”会导致入狱。您可以联系负责他们服务器的任何人，如果这不起作用，您可以开始抄送同一公司/机构中的其他人，也许这会有所帮助。如果您在美国，您可以尝试通过CERT解决此问题。如果在另一个国家，您可以尝试查找该国家的 CERT。