Но Вы должны понимать, что за карму работают и находят в 90% сканерные уязвимости

Возможно. Проблема в том, что что сканер вряд ли хоть что-то покажет, просто потому, что функционал приложения/библиотеки довольно специфичен. Функционал, который лично у меня сейчас под вопросом - аутентификация клиентских запросов в условиях, когда клиентский код был сгенерирован самим сервером.