Если сканер молчит, то скорее всего он просто не дотягивает до большей части защиты или настроен на профи, а у тебя банальный веб-фаервол либо CDN всё пережёвывает. Сканеры часто виды багов не видят, особенно если проект нормально закрыт. Ну или ты слишком сильно хочешь, чтоб их была гора, а баги просто аккуратно спрятаны.