Да, типично сами же себе и подсвечивают лазейки, когда игнорируют базу. Про open redirect и пароли по умолчанию вообще вечная глава ошибок — и правда, иногда достаточно просто глянуть, что можно открыть напрямую, без сложного геморроя. Главная беда в том, что с фундаментом поленились нормально разобраться, а потом удивляются, почему всё полетело.