Netmaker vulnerable to Insufficient Granularity of Access Control

Netmaker permitía que usuarios sin privilegios de administrador ejecutaran acciones de administrador a través de la API usando sus tokens de autenticación. Esto significa que alguien sin permiso de admin podría obtener control total sobre la configuración de red y otras operaciones sensibles.

Netmaker anterior a la versión 0.15.1 sufre de autorización inadecuada en los endpoints de la API, permitiendo que usuarios autenticados sin privilegios ejecuten funciones de nivel administrador. La vulnerabilidad resulta de falta de granularidad en el control de acceso (CWE-1220, CWE-285), donde las verificaciones de autorización de la API fallan en validar correctamente los privilegios del usuario antes de ejecutar operaciones sensibles, resultando en escalada de privilegios.