Atribuição em massa
Vulnerabilidade: o framework pega o corpo inteiro da requisição e atribui os campos diretamente — inclusive os que o usuário não deveria poder definir.
O clássico: um POST com { "name": "Bob", "is_admin": true } em Rails/Django/Sequelize → escalonamento de privilégios. Defesa: lista explícita de campos permitidos (strong params, DTOs). A invasão ao GitHub em 2012 foi um caso de mass assignment.