Да, старые банальные XSS и SQLi с прямым вписыванием давно мало кого удивляют, большинство нормальных сайтов уже хоть какой-то базовый фильтр ставит. Сейчас больше заморачиваются на цепочки уязвимостей, обход фильтров через API и конфигурации сервера — это реально важнее, чем искать забытый phpinfo или directory listing.