该直接说吗？

老板的老板不甚懂技术，还专爱找些艰深的bug。有个他找的bug被老板分到我手里，说是会被sql injection，结果我不光test了没可能有问题，看code，写的也很扎实（不是我的code)，用了据说是防止sql injection的首选方法。现在我该怎么办？把bug踢回老板那里去，还是如实在document里面写这不是个bug?