Поиск уязвимостей включает в себя так же изучение исходного кода, и выявление брешей в нем. Так что тут я с вами не соглашусь. А когда колупаешся в таких вещах типа Bitrix вообще голова нагреваеться))