Согласна, что часто проблемы зарыты в простой невнимательности к фильтрации и работе с сессиями. Автоматические сканеры дают быстрый обзор, но без ручной проверки и тестового стенда сложно понять, что реально ломает логику. Веб-приложения иногда просто висят на старом софте, и тогда даже базовые настройки сервера решают половину проблем.