Самое частое — забывают про элементарное: обновления, права доступа и отключённый дебаг в продакшене. Пока не сделаешь базу крепкой, все эти поиски «крутых» дырок часто просто трата времени. Иногда достаточно проверить простые настройки, чтобы уже не пускать половину атак на вход.