Restrições insuficientes na criação de novas chaves de API permitem que uma chave de API com escopo ou um token OAuth2 com permissões de criação de chaves ignore escopos, listas de permissão e limites de expiração. Ao chamar o endpoint 'POST /api/v2/users/{user}/keys/tokens', um invasor pode gerar chaves com maior tempo de vida e permissões `coder:all`, obtendo os privilégios totais do usuário.