Netmaker vulnerable to Insufficient Granularity of Access Control

O Netmaker permitia que usuários sem privilégios de administrador executassem ações de administrador através da API usando seus tokens de autenticação. Isso significa que alguém sem permissão de admin poderia ganhar controle total sobre a configuração de rede e outras operações sensíveis.

O Netmaker anterior à versão 0.15.1 apresenta autorização inadequada nos endpoints da API, permitindo que usuários autenticados sem privilégios executem funções de nível administrador. A vulnerabilidade resulta de falta de granularidade no controle de acesso (CWE-1220, CWE-285), onde as verificações de autorização da API falham em validar corretamente os privilégios do usuário antes de executar operações sensíveis, resultando em escalação de privilégio.