Недавно копался с старым движком сайта и наткнулся на список известных уязвимостей, которые вроде как были топом год-два назад. Но при проверке с актуальными сканерами многие из них просто не срабатывали или уже исправлены "по умолчанию" в новых версиях библиотек. С одной стороны, классно — меньше нервов, с другой — это сбивает с толку, когда пытаешься понять, что реально стоит патчить.

Вот пара моментов, что заметил:

- SQL-инъекции в популярных ORM давно перекрыты, но если используешь собственный код — все еще может быть больная тема;
- Старые XSS через классические методы фильтрации сейчас почти не работают, потому что браузеры подгорели и CSP подтянули, но это не значит, что можно расслабляться;
- Использование устаревших протоколов типа SSL 3 давно стало костылём, но вот TLS 1.0–1.1 ещё иногда встречаются и могут быть дырявыми.