L'escalatione dei privilegi orizzontale si verifica quando un utente ottiene accesso ai dati o alle funzioni di un altro utente allo stesso livello di privilegio. L'attaccante non diventa amministratore; invece, attraversa il confine tra account pari, tenant o record. Ciò è spesso causato da una autorizzazione a livello di oggetto compromessa, in cui il server si fida di un ID ticket, ID account o riferimento a un file senza verificarne la proprietà.
È importante perché l'autenticazione da sola non è sufficiente. Un sistema può verificare correttamente che un utente abbia effettuato l'accesso e tuttavia esporre casi di assistenza, ordini, messaggi o dati del profilo privati se i controlli di autorizzazione mancano o sono incoerenti. Negli attacchi reali, questo si manifesta spesso modificando un identificatore e vedendo caricare l'oggetto di un altro utente. I difensori riducono il rischio applicando il controllo degli accessi lato server a ogni richiesta, usando verifiche di proprietà per ogni oggetto e registrando modelli di accesso insoliti, come il probing sequenziale di ID o le ricerche tra account diversi.