727 MB de GIF, 65 `->get()` e zero teste de autorização: o que eu achei auditando um SaaS Laravel de verdade