si has estudiado html, habrás visto que todo el codigo puesto ahí es hecho por el creador y es un codigo meramente visual, el html no tiene acceso a bases de datos, nada... incluso en navegador (con chrome) presionar f12 puedes cambiar cosas del html tranquilamente... html no te mostrará ninguna vulnerabilidad, eso es algo que simplemente escupe el servidor... así como css... en tal caso podrías identificar elementos para saber si son de wordpress o algun cms y lde ahí buscar vulnerabilidades de ese cms