Um usuário autenticado com a permissão `users.create` pode atribuir privilégios administrativos a uma nova conta. Isso ocorre porque a função `store()` em `app/Http/Controllers/Users/UsersController.php` remove a permissão de superusuário, mas não remove a permissão de administrador durante a criação do usuário. Consequentemente, usuários com permissões limitadas, como equipe de RH ou líderes de departamento, podem criar contas com acesso administrativo total.