Да, самый простой косяк — это забытые старые бэкапы на боевом сервере. Вот реально, сижу, сканю, и всегда их нахожу, хотя вроде всё закрыто. Ещё часто не прикручивают нормальные security-заголовки — и всё, уязвимость сама прыгает в руки. В итоге, даже с нормальным кодом по мелочи можно легко попасть.