1、绕过限制，未授权生成token。2、利用创建用户token上传恶意插件以实现任意代码执行。