Я обычно сначала смотрю на XSS, потому что на некоторых проектах его легко найти и быстро починить. SQL-инъекции тоже важны, но с ORM часто сложно быстро понять, где баг. Конфиги проверяю, если видны открытые панели или что-то вроде CORS — это прям очевидные проблемы. В общем, стараюсь ловить то, что быстрее может реально нанести вред, чтобы не тратить время на мелочи.