Chat / messaging
Só leitura — não altera nada no alvo. Só em alvo seu ou autorizado por escrito.
O vetor
exfil de contatos, IDOR de mensagens, spam
O que esperar
Preventivo (Bloco O — Categorias de software SaaS): vira teste executável quando o fluxo existir.
Como corrigir
IDOR: pedir msg de outro usuário → deve dar 403/404; rate limit; authz por conversa