تؤدي القيود غير الكافية على إنشاء مفاتيح API جديدة إلى السماح لمفتاح API محدود النطاق أو رمز OAuth2 يمتلك صلاحيات إنشاء المفاتيح بتجاوز النطاقات، وقوائم السماح، وحدود انتهاء الصلاحية. من خلال استدعاء نقطة النهاية 'POST /api/v2/users/{user}/keys/tokens'، يمكن للمهاجم إنشاء مفاتيح ذات صلاحية أطول وبصلاحيات `coder:all` ، مما يمنحه كامل امتيازات المستخدم.