بله این درست اما ممکن هم هست اصلا امنیت کار نکرده باشند و تا هک بشند تازه فهمیده باشن که مشکل امنیتی دارند
اما به جز سرور میتونه از خود اسکریپت باگ بده مثلا همین my bb رو مثال میزنم sql در پروفایل کاربری که قبلا انجمن شما هم این مشکل رو داشت و الان فهمیدید و پچ کردید یا whmcs اپلود شل از تیکت یا et chat یا .... بنابراین همیشه باید یه نفوذی انجام بشه تا طرف بفهمه که باگ داره یا نه