Скорее всего, всё крутится вокруг базовых вещей — аутентификация и сессии, потому что если их ломануть, дальше проще добраться до всего остального. Автоматические сканеры часто шумят из-за мелочей, но не ловят реально опасные косяки в логике. Так что ручной анализ — это головная боль, но без него тяжело понять, где настоящая дыра.