Asignación masiva
Vulnerabilidad: el framework recibe el cuerpo entero de la petición y asigna los campos directamente — incluidos los que el usuario no debería poder tocar.
El clásico: un POST { "name": "Bob", "is_admin": true } contra Rails/Django/Sequelize → escalada de privilegios. Defensa: lista explícita de campos permitidos (strong params, DTOs). El hackeo de GitHub de 2012 fue precisamente asignación masiva.