Un utilisateur normal peut accéder en lecture à la page Système dans l'interface d'administration
Se connecter en tant qu'utilisateur normal. La page d'administration Système n'apparaît pas -> c'est OK. Si l'utilisateur écrit l'URL http://localhost:3000/?settings=system, la page d'administration Système apparaît, il y a accès en lecture (pas en écriture). Ça pose un problème de sécurité car il peut voir les paramètres gérés par l'administrateur, notamment le mot de passe SMTP en clair. En plus du blocage en écriture qui existe déjà, il faudrait ajouter un blocage en lecture (pas d'accès).
Pour la page http://localhost:3000/?settings=user, c'est moins gênant car on ne voit aucune donnée. En fait, il faudrait ne plus cacher le menu Utilisateurs dans l'interface d'administration mais par contre, cacher l'onglet Ajouter un utilisateur et ne montrer et ne donner accès en écriture qu'au compte de l'utilisateur connecté.