Я тоже заметил, что теперь некоторые старые баги просто не работают на новых версиях софта, так что гоняться за ними — пустая трата времени. Лучше сразу фокуситься на новых фишках и реальных дырках, которые ещё не закрыли. Все эти старые CSRF и простые XSS уже почти не встречаются в приличных проектах, да и инструменты иногда слишком много мусора показывают.