Ну да, это реально частая тема — сканеры часто молчат, хотя понятно, что беда есть. Думаю, дело не только в настройках, а ещё в том, что многие уязвимости просто не автоматом ловятся, там нужна именно ручная работа и понимание логики сайта. Иногда просто шаг в сторону от шаблонов даёт результат. А сканер без правильных прав просто ничего не увидит, вот и всё.