Битрикс - это какашка мамонта под древние версии elephpant. Вот что я о ней думаю: https://habrahabr.ru/post/280226/

В самом битриксе дыры ты врядли найдёшь. А вот если к нему дописывают какой-то код - наличие дыр в нём очень даже вероятно. Т.е. при пентесте надо смотреть где куски битрикса а где самопал. Битрикс надо игнорировать а самопал пентестить.