Чаще всего забывают про серверную валидацию и правильные заголовки, это базовые вещи, которые многие игнорируют, думая что фронт всё решит. Ну и пароли — тема больная, многие админы оставляют стандартные, пока не получат по шапке. Простые ошибки, но их не лечат, и нагрузка потом идёт на поддержку.