該直接說嗎？

老板的老板不甚懂技術，還專愛找些艱深的bug。有個他找的bug被老板分到我手裏，說是會被sql injection，結果我不光test了沒可能有問題，看code，寫的也很紮實（不是我的code)，用了據說是防止sql injection的首選方法。現在我該怎麽辦？把bug踢回老板那裏去，還是如實在document裏麵寫這不是個bug?