Um `internal user` autenticado pode criar chaves de API com acesso a rotas não permitidas por sua função. Isso ocorre porque o campo `allowed routes` é armazenado durante a geração da chave sem verificar se as rotas especificadas estão alinhadas com as permissões do usuário. Ao criar uma chave com acesso a rotas exclusivas de administrador, um usuário pode ignorar os controles de acesso baseados em função (RBAC)—um mecanismo que restringe o acesso ao sistema a usuários autorizados—resultando em escalonamento total de privilégios de `internal user` para `proxy admin`.