Слушайте, у меня была задача прокачать проверки сайта под новые уязвимости, и расскажу, что сейчас реально стоит. Первое — не гонитесь за всеми свежаками, многие старые дыры по-прежнему актуальны, особенно OWASP топ-10. Но теперь важно обязательно смотреть на конфиги серверов и CMS: часто забывают про правильные заголовки безопасности (Content-Security-Policy, X-Frame-Options, HSTS). Проверку стоит начинать с простого — пройтись по списку известных проблем, но с учетом последних патчей.