Совет от тестировщика 70/∞ : Права проверяются на сервере, а не только на клиенте.

Спрятать кнопку в интерфейсе – это не то же самое, что закрыть доступ. Откройте нужный урл руками, минуя интерфейс, под пользователем без прав.

Если запрос отработал, у вас не UI-баг, а дыра в безопасности. Отдельная категория, отдельный приоритет, отдельные проблемы.