Первый случай:
Я создаю продукт X. Я создаю пользователя Y. Добавляю права пользователю Y на продукт X (больше прав у него нет). Пользователь видит все ошибки продукта X и может редактировать без ограничений ошибки.

Второй случай:
Я создаю продукт X. Я создаю пользователя Y. У пользователя Y нет никаких прав. Пользователь видит только те ошибки в которых он исполнитель или на которые он подписан. В обоих случаях он может редактировать без ограничений ошибки любых продуктов.


Какой смысл в праве «editbugs: Can edit all bug fields» ?

Какие права на продукт? Если canconfirm -- это право переводить из UNCONFIRMED. editbugs это любые атрибуты и любые изменения состояний ошибки, у которой не являешься ни инициатором ни исполнителем.