Короче, race conditions — это когда проверяешь условие, а потом меняешь данные, но между этими действиями успевает вклиниться ещё запрос. И даже ORM не спасёт, потому что там тоже разделено на две операции. Single-packet attack — это просто способ отправить все запросы в одном пакете, чтобы сервер увидел их почти одновременно, и баг вылез сразу. Вот и всё.