Привет,
При создании нового приглашения через [..site..]/new-invite в роли модератора появляется возможность добавить приглашённого в группу. Несмотря на то, что модератор не может этого сделать (возвращается ошибка 403), выпадающий список всё ещё отображается. См. ниже:
Ничего уязвимого, скорее проблема UX, чем баг(?)
С Рождеством 
Сообщение об ошибке:
Произошла ошибка: У вас нет прав для просмотра запрошенного ресурса.
Есть ли ошибки в консоли или в /logs?
Да, поскольку это непреднамеренное поведение. Поэтому отправка запроса в место с недостаточными правами доступа вызывает ошибку.
Выпадающий список, вероятно, должен отображаться только для администраторов или владельцев групп.
(Владельцы групп, не являющиеся администраторами, вероятно, должны иметь возможность выбирать только группу, которой они владеют).
Вместо того чтобы скрывать выпадающий список у модератора, который не является владельцем ни одной группы, возможно ли показывать его с сообщением «Вы не являетесь владельцем ни одной группы»?
Такое сообщение помогло бы модератору и его администратору лучше понять, как заполнить это поле, чтобы модератор мог выполнить задачу по приглашению пользователя и добавлению его в группу.
