Стоит ли сообщать владельцу сайта об уязвимости XSS?
Можно и сообщить, если не боишься, что тебя же во взломе и обвинят. Интернет - давно уже не "дружественная среда". Если это задрипанный инди-сайт - тогда скорее всего поблагодарят. Если это жирный сайт с репутацией и деньгами - лучше не соваться.
стоит вообще об этом спрашивать?
хотите помочь? сообщайте. 
не хотите? к чему вопрос вообще?