Скорее всего, просто сканер не охватывает всю сложность сайта или не видит специфичные баги, которые требуют человеческого взгляда. Автоматика неплоха для базовой проверки, но классные уязвимости часто прячутся за нестандартными моментами, которые машина не распознает. Ну и права доступа, конечно, сильно влияют — без нормального контекста сканер тупо не заглянет туда, где проблема.