Самое частое, что замечаю — новички слишком доверяют автоматике и забывают, что проверять надо руками. В итоге много лишнего шума в отчёте, да и найти реально важные баги сложнее. Без понимания самого приложения — пентест превращается просто в набор сканов и бесполезных выводов. Лучше меньше, да лучше.