Há muita coisa que pode dar errado com um aplicativo da web. Além de XSS e SQLi, há:

1. CSRF - Falsificação de solicitação entre sites
2. LFI/RFI - Inclusão de arquivo local/Inclusão de arquivo remota causada por include() , require() ...
3. Injeção de CRLF em mail()
4. Posicionamento de namespace de variável global geralmente causado por register_globals ,extract() , import_request_variables()
5. Percurso de diretório:fopen() , file_get_contents() , file_put_conents()
6. Execução remota de código com eval() ou preg_replace() com /e
7. Execução remota de código com passthru() , exec() , system() e ``

Há toda uma família de vulnerabilidades relacionadas a Autenticação quebrada e gerenciamento de sessão que faz parte do OWASP Top 10 que todo programador de aplicativos da web deve leitura.

Um estudo em escarlate é um bom papel preto que aborda muitas dessas vulnerabilidades que listei.

No entanto, também existem vulnerabilidades estranhas como esta em Wordpress . A autoridade definitiva sobre o que é uma vulnerabilidade é o sistema CWE que classifica CENTENAS de vulnerabilidades, muitas das quais podem afetar aplicativos da web.