Privilege escalation in RBAC system

Una falla en el Servidor de Verificación de Notificación de Exposición de Google permite que alguien con permiso básico de escritura de usuarios engañe al sistema para crear una nueva cuenta de usuario con derechos de acceso más poderosos de lo que debería poder otorgar. Esto ocurre porque el sistema no valida adecuadamente qué permisos pueden ser asignados.

Validación insuficiente de entrada en la lógica de asignación de permisos RBAC permite que un atacante con privilegios UserWrite escale permisos creando usuarios con privilegios elevados mediante solicitudes maliciosas o manipulación de proxy. La vulnerabilidad afecta versiones anteriores a 0.23.1 y es detectable a través de registros en el Event Log; la explotación requiere permiso UserWrite y capacidad de interceptar o falsificar solicitudes.