Заметил в весьма полезном модуле adminrole важную недоработку: право настройки модуля имеет пользователь с доступом к администрированию сайта, даже если у него нет прав на управление правами.
Т.е. пользователь, изначально не способный изменять права, может получить эту возможность (и многие другие) благодаря изменению настроек adminrole.

В модуле права определены так (на примере D5.x):