Соглашусь, формы — всегда первое, на что надо смотреть, это реально быстрый тест. Ещё совет — глянуть, какие версии библиотек подключены, часто там гуляют старые дыры. И заголовки безопасности не забывать, они могут реально многое закрыть без лишнего кода. Просто базовые вещи, но если их на старте не поправить, дальше копать почти бессмысленно.