O algoritmo none

Esta API autentica você a partir das claims dentro do seu JWT. O cabeçalho diz alg:HS256, mas o servidor tem uma falha clássica: ele também aceita um token cujo cabeçalho diz alg:none, tratando-o como já válido, sem assinatura a verificar. Na bancada, troque o algoritmo do cabeçalho para none e reescreva o payload para que role vire admin. O token se reconstrói ao vivo. Copie o token forjado inteiro e envie.