Mastodonのセキュリティインシデントを発見した場合、報告すべき窓口はこちらです。
https://github.com/mastodon/mastodon/security

Misskeyのセキュリティインシデントを発見した場合、報告すべき窓口はこちらです。
https://github.com/misskey-dev/misskey/security

それぞれ説明とあわせて、報告フォームへのリンクがありますので、そちらでご報告ください。

なお、MastodonもMisskeyも、サーバの設置者がソフトウェアに改造を加えている場合があります。

あるいは、別の名前がついて広く配布されているフォークを利用している場合もあります。

問題・原因が本家にあるのか、フォークやサーバ毎の改造にあるのか、通常は利用者にはわかりません。

どこに報告したら良いでしょうか？

判断がつかない場合は、サーバの管理者に報告するのが良いと思います。

サーバの管理者としては、利用者に対し報告窓口をあらかじめ案内しておくことが重要になります。

Fedibirdについては、何らかの方法で私に伝えていただければOKです。ミンナニナイショダヨ