Um usuário autenticado de baixo privilégio pode desativar permanentemente qualquer outra conta, incluindo contas de administradores. Isso ocorre por meio do endpoint `POST /api/auth/user/invalidateUser`. O problema reside em `src/pages/api/auth/user/invalidateUser.ts`, onde a função `getServerSession` verifica a existência de uma sessão, mas não compara o `session.user.id` com a variável `userId` fornecida. Ao fornecer o `userId` de uma vítima e um `deviceId` que não possua um par correspondente em `UserDevice`, o manipulador define a variável `isActive` da conta alvo como false. Consequentemente, o arquivo `src/server/auth.ts` recusa tentativas de login com uma mensagem de conta expirada. Um invasor precisa de uma conta autenticada normal e do ID de usuário da vítima, que pode ser obtido de listas de membros, respostas da interface do usuário, logs ou metadados do aplicativo.