يمكن لمستخدم `internal user` الذي تمت مصادقته إنشاء مفاتيح API تتيح الوصول إلى مسارات لا يسمح بها دوره. ويحدث ذلك لأن الحقل `allowed routes` يتم تخزينه أثناء إنشاء المفتاح دون التحقق مما إذا كانت المسارات المحددة تتوافق مع أذونات المستخدم. من خلال إنشاء مفتاح يتيح الوصول إلى المسارات المخصصة للمسؤولين فقط، يمكن للمستخدم تجاوز ضوابط الوصول القائمة على الأدوار (RBAC) — وهي آلية تقصر الوصول إلى النظام على المستخدمين المصرح لهم — مما يؤدي إلى تصعيد كامل للامتيازات من `internal user` إلى `proxy admin`.