Andersthemagi

**Nome do Software Vulnerável e Versões Afetadas** Penpot versões anteriores a 2.18.0 **Description** Nos caminhos de create-team-invitations e de aceitação de convites, um administrador de equipe que não seja o proprietário pode atribuir a função de proprietário a outra conta. Isso ocorre porque as funções de convite são persistidas e aplicadas sem a verificação de teto de função (role-ceiling check) utilizada pela função `update-team-member-role()`. Um administrador pode explorar isso para criar múltiplos proprietários e, subsequentemente, obter controle exclusivo de proprietário sobre a equipe. **Recommendations** Atualize para a versão 2.18.0.