Mass Assignment: Request Parameters Bound into Persisted Objects

若是允許資料庫持續性實體藉由要求參數自動填入，便可讓攻擊者能在相關聯的實體中建立未預期的資料庫記錄，或是在實體物件中更新未預期的欄位。

模型物件是以物件導向表示的資料庫實體。它們提供簡便的方法來載入、儲存、更新及刪除相關聯的資料庫實體。
Hibernate、Microsoft .NET Entity framework 及 LINQ 都是物件關係對應 (ORM) 架構的範例，可協助您建置資料庫支援的模型物件。

許多 Web 框架都提供了某種機制，用於根據對要求參數名稱與模型物件參數名稱的比對 (根據相符的公用 getter 與 setter 方法)，將要求參數繫結至要求繫結的物件，以努力減輕開發人員的工作負擔。

若應用程式使用 ORM 類別做為要求繫結的物件，則也許要求參數能修改對應模型物件中的任何欄位，以及物件屬性的任何巢狀欄位。

範例 1：Order、Customer 和 Profile 都是 Microsoft .NET 實體持續性類別。

public class Order {
	public string ordered { get; set; }
	public List<LineItem> LineItems { get; set; }
	pubilc virtual Customer Customer { get; set; }
...
}
public class Customer {
	public int CustomerId { get; set; }
	...
	public virtual Profile Profile { get; set; }
...
}
public class Profile {
	public int profileId { get; set; }
	public string username { get; set; }
	public string password { get; set; }
	...
}

OrderController 則是處理要求的 ASP.NET MVC 控制項類別：

public class OrderController : Controller{
	StoreEntities db = new StoreEntities();
...

	public String updateOrder(Order order) {
		...
		db.Orders.Add(order);
		db.SaveChanges();
	}
}

因為模型實體類別會自動繫結至要求，所以攻擊者可能利用此弱點，透過將下列要求參數新增到要求來更新另一名使用者的密碼："http://www.yourcorp.com/webApp/updateOrder?order.customer.profile.profileId=1234&order.customer.profile.password=urpowned"