Isso guarda alguma semelhança com o [SQL Injection][1], só que agora por causa de uma automação que um *framework* fornece para diminuir o trabalho de codificação. Geralmente ocorre com MVC e ORM.

O que costuma ocorrer é que o que vem do URL é desserializado para um objeto que é persistido posteriormente no banco de dados. Se você não limitar o que deve ser desserializado é possível mandar dados que não deveriam ser alterados por algo que vem de fora. Pode mudar uma senha, trocar o saldo, zerar algum histórico, mudar uma identidade, etc.

Dependendo do sistema pode causar o mesmo estrago que o [SQL Injection][2], embora seja provável que ocorra algo menos pior.

É o velho problema de ter que validar **todas** as informações que vem de fonte externa a aplicação. Ocorre quando faz na mão e quando não sabe usar o *framework* direito. Você nunca tem controle sobre o que de fora, só aceite o que você tem certeza que não tem perigo, bloqueie todo o resto.

O `Bind` ajuda, mas não resolve tudo. Tem casos que a validação não é "pode ou não pode" receber o campo, tem o jeito que pode e o jeito que não pode.

A maioria das aplicações que tem por aí está sujeita a isso, inclusive escritas por pessoas experientes. Já vi curso tido como bom que deixa esta brecha sem ser coberta, ensina-se fazer o estrago, mas não como combatê-lo.

Veja mais em https://pt.stackoverflow.com/q/13298/101.

[Coloquei no **GitHub** para referência futura][3].


  [1]: https://pt.stackoverflow.com/q/3864/101
  [2]: https://pt.stackoverflow.com/a/100730/101
  [3]: https://github.com/maniero/SOpt/blob/master/CSharp/Conceptual.md