Affectation de masse Mass assignment
Faille où le framework prend tout le corps de la requête et l'affecte directement à l'objet — y compris des champs que l'utilisateur n'aurait jamais dû pouvoir modifier.
Le classique : un POST de { "name": "Bob", "is_admin": true } sur Rails, Django ou Sequelize, et voilà une élévation de privilèges. Défense : une liste blanche explicite des champs autorisés (strong params, DTO). Le piratage de GitHub en 2012 n'était rien d'autre qu'une affectation de masse.