Часто замечаю, что при поиске багов в веб-приложениях реально проскакивают одни и те же недочёты. Например, кто-то не проверяет обработку пользовательского ввода во всех местах, а лишь в форме логина, или забывает смотреть на редиректы и параметры в URL. Ещё популярная ошибка — редко тестируют защищённость с разными HTTP-методами, что иногда позволяет «залазить» туда, где не надо.