Точно, много бед из-за того, что базы проверки делают формально, а реальные кейсы никто не прогоняет. Часто проще всего проморгать ошибки с правами доступа — особенно если на админке не поиграть с разными ролями. CORS меня тоже пару раз удивлял, ведь вроде бы мелочь, а бах — и доступ к важным штукам открыт. Ручная проверка реально помогает поймать то, что сканеры не видят.