Это работает и в другую сторону. Заявление, что уязвимость есть, а эксплойта нет де-факто означает, что на практике проэксплуатировать её невозможно. И пока нету хотя бы PoC говорить о том, что это уязвимость рановато.

У безпасников сам факт того, что есть возможность что-то где-то запустить - это уже уязвимость. И их не интересует, что запускать необходимо для исполнения задач бизнес-логики. Работает, значит уязвимо. И в данной логике сам факт возможности запуска - это компрометация системы