Ну да, старая добрая SQL-инъекция уже как реликт какого-то прошлого века. В современных движках такие дырки сами собой закрыты, если только совсем не халтурят. Раньше это была классика, теперь если попадётся — скорее баг в допилинге под клиента. Про CGI и RFI тоже согласен, давно уже не бьют по рынку. Сейчас больше забавляют цепочки сложных багов, где ломают логику или API — вот там действительно движ.