Лично от кепа слышал что полсе 3-х месячной работы движка небыло выявлено и исправлено ни одной уязвимости. В первую неделю работы дыига лично нашел 2 sql и одну xss в комментах. Ну и кучу багов, открывающих инсталяционный путь. Это так, к слову.