Isso guarda alguma semelhança com o SQL Injection, só que agora por causa de uma automação que um framework fornece para diminuir o trabalho de codificação. Geralmente ocorre com MVC e ORM.
O que costuma ocorrer é que o que vem do URL é desserializado para um objeto que é persistido posteriormente no banco de dados. Se você não limitar o que deve ser desserializado é possível mandar dados que não deveriam ser alterados por algo que vem de fora. Pode mudar uma senha, trocar o saldo, zerar algum histórico, mudar uma identidade, etc.
Dependendo do sistema pode causar o mesmo estrago que o SQL Injection, embora seja provável que ocorra algo menos pior.
É o velho problema de ter que validar todas as informações que vem de fonte externa a aplicação. Ocorre quando faz na mão e quando não sabe usar o framework direito. Você nunca tem controle sobre o que de fora, só aceite o que você tem certeza que não tem perigo, bloqueie todo o resto.
O Bind
ajuda, mas não resolve tudo. Tem casos que a validação não é "pode ou não pode" receber o campo, tem o jeito que pode e o jeito que não pode.
A maioria das aplicações que tem por aí está sujeita a isso, inclusive escritas por pessoas experientes. Já vi curso tido como bom que deixa esta brecha sem ser coberta, ensina-se fazer o estrago, mas não como combatê-lo.
Veja mais em Usar validação via cliente é suficiente?.
Coloquei no GitHub para referência futura.