Часто сталкиваюсь с тем, как народ гонится за хайповыми багами и забывает о базовом. Например, любят запускать кучу автоматических сканеров и надеяться, что это всё покроет. Но часто промахи идут из-за банальных вещей: не обновлённые библиотеки, неправильные настройки прав доступа, или просто заблудшие админки из стандартных путей. Сам в таких ситуациях сначала смотрю конфиги и зависимости, потом уже бегаю со сканерами.

Ещё момент — парни не всегда понимают, что уязвимости надо проверять с головы. Например, логика работы сайта и пользователей — это ключ. SQL-инъекции или XSS только там проявятся, где данные идут в БД или отображаются. Поэтому для проверки важен глубокий анализ кода, а не просто запуск сторонних инструментов.