Uma falha de autorização incorreta existe na função `update()` em `app/Http/Controllers/Users/UsersController`. A rota de edição de usuário único atribui o campo `activated` do payload da requisição antes de avaliar o gate de autorização `canEditAuthFields`. Isso permite que um usuário não administrador autenticado, com a permissão `users.edit` no escopo da empresa do alvo, envie uma requisição PUT para o endpoint '/users/{id}' e altere a flag `activated` de qualquer usuário, incluindo contas de administrador e superusuário. A desativação de um administrador resulta no bloqueio dessa conta no aplicativo. Apenas o campo `activated` é afetado; outros dados sensíveis e a API não são impactados.