Вижу, что почти у всех форумов есть привычка проседать по безопасности на пару фронтов — XSS, CSRF и устаревшие плагины. Чаще всего уязвимости появляются из-за того, что админы забивают на обновления или не проверяют параметры форм и куки. Лично я сначала пробиваю базовые вещи — обновы движка, ревью установленных расширений и паты безопасности (Content Security Policy, HTTPonly cookie). Если есть возможность, включаю WAF или хотя бы базовые правила на веб-сервере, чтобы отсеять простые инъекции. Ещё полезно просканировать форум через онлайн-сканеры уязвимостей, чтобы выявить очевидные дыры. А вы как обычно проверяете? Что для вас главное в защите?