apesar de corretamente autenticado, um solicitante de requisições à API possa obter dados relacionados a objetos ou recursos aos quais não deveria ter acesso.

a segurança do protocolo HTTPS seja quebrada, sendo possível que o atacante decripte requisições e respostas obtidas via monitoramento da comunicação por sniffer de rede.

código SQL malicioso seja injetado no banco de dados da aplicação por meio de formulários web que não são devidamente validados.

código JavaScript malicioso, introduzido por um atacante, possa ser executado no navegador de usuários que acessam o front-end web da aplicação.

ocorra estouro de pilha na aplicação que provê o serviço de back-end devido ao excesso de chamadas recursivas à mesma função.