Часто на проектах вылетают одни и те же проблемы: SQL-инъекции, XSS, неправильные заголовки безопасности, дырки с загрузкой файлов. Чтобы не копаться вечность, сначала смотрю по списку — в чем реально большая часть багов:

- Валидация и экранирование данных из форм (особенно если есть запросы к БД)
- CSP и корректные заголовки Content-Security-Policy, X-Frame-Options, X-Content-Type-Options
- Проверка прав доступа к endpoint-ам (кто что может получить и сделать)