Toplu atama
Zafiyet: çatı istek gövdesinin tamamını alıp alanları doğrudan atar; kullanıcının ayarlayamaması gereken alanlar da dahil (İngilizcesi mass assignment).
Klasik: Rails/Django/Sequelize’e { "name": "Bob", "is_admin": true } POST etmek → yetki yükseltme. Savunma: izin verilen alanların açık bir izin listesi (strong params, DTO’lar). 2012’deki GitHub saldırısı bir toplu atama açığıydı.