У меня часто бывает, что сканер молчит, а баги есть. Обычно проблема в том, что сайт слишком замороченный — капчи, нестандартные токены, всякие JS-фишки. Простые сканеры такое пропускают. Радикально помогает ручная проверка и прокси для перехвата запросов, чтобы понять, что реально идёт на сервер и как фильтруется ввод. Главное — не верить отчётам без проверки.