¿Quién es responsable si se encuentra una vulnerabilidad?

Eso depende de la situación. Los administradores del proyecto pueden crear una actualización, pero el usuario u organización también debe aplicar esa actualización.

El código abierto no cambia el hecho de que cualquiera que utilice software sigue siendo responsable de una gestión cuidadosa.