🐒Laboratorio: La función del usuario se puede modificar en el perfil del usuario

Aqui vemos como la pagina basa su metodo de control de acceso en un parametro llamado roleid el cual vamos a comprobar si es facilmente modificable, y encontrar donde está.

Después de analizar las diferentes peticiones de la aplicación me puse a revisar la petición de change-email que es una POST y encontré que el email se cambiaba en un JSON, intenté modificar y añadir el roleid:2 al JSON sin embargo me dió un error, hasta que ví el response de la solicitud de cambiar el email →

La respuesta del POST de cambiar el email devuelve un JSON con unas claves y sus valores, junto con ellas el roleid establecido en 1 con esto en mano, tomé el JSON de la response y lo mandé a la request modificando solo el correo y el roleid a 2 que es el valor para los usuarios administradores y eureka →

Me devuelve el JSON con el roleid establecido en 2, ahora podemos ver si somos admins.

Eliminamos al user carlos y listo!