В этом году заметно поменялся подход к поиску и описанию уязвимостей. Многие старые способы теперь либо работают через раз, либо выдают кучу ложных срабатываний. Особенно это касается сканеров, которые не учитывают новые методы защиты и фишки вроде автоматического обновления компонентов.

Что реально важно сейчас — это не просто нахождение уязвимостей, а понимание контекста их эксплуатации и влияние на систему. Простой пример: если раньше XSS могло «полететь» из-за недостаточной фильтрации, то сейчас большинство фреймворков уже защищают базово. Значит, надо копать глубже — искать цепочки ошибок или сложности в логике приложений.