Ребята, недавно проверял свой форум на XSS и CSRF — в общем, не всё так просто. Самое частое, что заметил — недостаточная фильтрация пользовательского ввода, особенно в комментах и формах профиля. В итоге, если не применять нормальную очистку или экранирование, можно посадить огромную дыру. А CSRF — вообще классика: тонкие места часто в форме смены пароля или в админке, если нет нужного токена.