你在通知开发人员他们的产品存在缺陷方面做了正确的事情。

现在，是否通知您意外发现其密码的用户，这取决于您的道德规范。这似乎是一个重大的安全漏洞，所以我可能会这样做。

如果您选择向用户报告违规行为，您可以匿名进行。您可以从一次性电子邮件帐户发送消息，因为我认为用户试图起诉您的可能性很小。（您可能有更大的被开发者起诉的风险。）如果您感到偏执，并且希望完全匿名，只需运行一个实时Tails CD 并从那里通过Sendy发送一封匿名电子邮件。