Один крупный украинский интернет-магазин одежды имел в своём самописном говнодвижке систему бонусов за покупки, где кол-во бонусов рассчитывалось на джаваскрипте и добавлялось в форму в виде input field с disabled... естессно, никакой проверки на бэкэнде. Я им даже пошаговую инструкцию отправлял, как зачислить себе много денег, даже в офис однажды заходил — не шибко умные "менеджерши" лишь поморгали глазками и пообещали, что "передадут начальству". Лишь спустя месяц починили.
Там же товары с кавычкой в имени ' вызывали на определённой странице оплаты sql error с детальным описанием проблемы и структурой таблицы (имя товара сохранялось в куках!). Но убедить их в том, что на сайте была серьёзная уязвимость, так и не удалось. Это ведь уже не очевидно дирехтурам, слово "деньги" отсутствует в описании.