私は無料プランに対してメールで連絡を取ったことがあります。
ぶっちゃけ、試してみるのが一番です。

私の場合、「無料プランでSSL化できないのは今どきおかしいのでSSL化できるようにしてほしい」との要望メールを送ったら応答がありました。
確かに対応は杜撰でしたが、「サポート対象外です」の一点張りではありませんでした。
個人的な経験上、仮に1回目で返されても、反論を交えて2回目の送信をすれば手ごたえのある応答があります。
3回も送る必要はありません。
参考： https://secure.xfree.ne.jp/bbs/detail.cgi?td=536

私のような「要望」ですら応答があるくらいなので、脆弱性の報告とあらば、なおさら対応してくれるでしょう。
重大案件なので、運営もさすがに無視できないはずです。

報告場所を書くのを忘れてました。
手元のメールから直にXFREEへメールを送るよりも、下記のフォームから送った方が確実かもしれません。

https://www.xdomain.ne.jp/support/support.php

※2通目以降を送りたい時は、このフォームではなく応答メールへの返信という形でOKです。

・XserverアカウントID：空欄
・アカウント：無
でも送信できる形となっています。
不安ならば、このフォーラムのリンクを貼るなどして経緯を説明するのもいいでしょう。


※↓以下、長文のため読まなくてもよいが、読んだ方が運営の実態が分かる↓※

厳密にはこれは「XFREE」ではなく、「Xdomain」(最近は「Xserver Domain」に再改称されてる…？)のフォームです。
なぜ、サービス名が異なるのか？　これには複雑な事情があります。

元々「XFREE」などという名のサービスは無く、「Xdomain」というサービスの一部として、「無料レンタルサーバー」がありました。
Xdomainの中に、「ドメイン取得サービス」と「無料レンタルサーバー」の両方が含まれていたのです。
そして、このフォームもかつては、その両方に対して問い合わせを送れるフォームでした。

しかし、運営はある日突然、「無料レンタルサーバー」の部分だけをXdomainから切り離し、
「XFREE」という別サービスとして独立させました。
そして、XFREE側の公式サイトには、このようなフォームを設けませんでした。
これは恐らく意図的で、「これはXdomainの問い合わせフォームであり、XFREEに関しては対象外です！」と言い訳できる環境を
運営は意図的に作りたかったのでしょう。
その点で、　「無料レンタルユーザーはメールをしてもサポート外と返される」　という噂は正しいです。

しかし、この運営の下衆な対応の餌食になるのは、上記の過去を知らない新規ユーザーのみです。
運営は、かつて1つのXdomainとして無料レンタルサーバー分の問い合わせも一緒に受け付けていたという上記の過去を忘れてもらいたがっています。
そのため、私が2通目でこの過去について反論し、毅然とした態度でメールに返信すると、運営はひるみました。後ろめたいのでしょう。

つまり、仮に
「サポート外だ！」
「Xdomain用の問い合わせフォームからXFREEへの問い合わせを送っても対応しかねます！」
のような返しをされたとしても、
上記の過去をまじえて反論すれば、話は通ります。