Никто лучше ручной проверки баги не покажет, особенно в старом коде. Сканы полезны для быстрого вброса, но реально хардкорные уязвимости вылезают только при попытке подключить голову и поковырять API, конфиги и вывод ошибок руками. Костыли с правами — частая беда, их лучше фиксить сразу, пока никто не успел воспользоваться.