Честно, не уверен, что сейчас можно выделить какую-то одну страшилку. Все эти инъекции и атаки на API уже как старые песни — вроде учат их, а они всё равно возвращаются. Может, просто надо перестать гоняться за каждым новым багом и больше внимания базовой безопасности уделять, а не искать супер-эксплойты? Вроде так проще и эффективнее.