Vulnerabilidades XSS

[AleBallesta]

Hola, aca estoy, aprendiendo un monton de una pequeña recopilacion de cursos utiles que hice. Pero bueno, me fui de tema.
Mi pregunta es esta: estaba probando y aprendiendo sobre vulnerabilidades XSS, y resulta que encontre una web vulnerable al clasico "><script>alert("XSS")</script> y a otros, como <font size = 100>hola</font>.
Eso quiere decir que esa aplicacion (un buscador) es vulnerable a cualquier codigo que le introduzca, o puede que no acepte cualquier codigo HTML/JScript que le ponga? Lo que quiero decir es: si es vulnerable a uno es vulnerable a todos? Y si fuese asi: deberia reportar la vulnerabilidad?
Gracias!

PD: perdonen mi ignorancia, jajaja.