Самое частое — это недооценка проверки вводимых данных и оставление дырочных API без контроля. Многие забывают обновлять компоненты и оставляют старые версии с уязвимостями. Ну и, конечно, банальная ошибка — слишком простые пароли или неправильные права доступа. Чем проще и понятнее сделать защиту сразу, тем меньше гемора потом.