L'elenco dei membri del ruolo è una funzione amministrativa che restituisce gli utenti assegnati a un ruolo o gruppo specifico. È comune nei sistemi di gestione delle identità e degli accessi per auditing, supporto e revisioni degli accessi, perché gli amministratori spesso devono confermare chi può utilizzare un determinato insieme di autorizzazioni.
In termini di sicurezza, questo tipo di ricerca può diventare molto rapidamente sensibile. Se un endpoint controlla solo se chi effettua la richiesta può raggiungere l'API, ma non verifica l'accesso a ogni record utente restituito, può esporre nomi utente, indirizzi email e relazioni interne tra utenti e ruoli. Gli aggressori attribuiscono valore a queste informazioni per il riconoscimento, il phishing mirato e la mappatura degli account privilegiati. I difensori dovrebbero applicare l'autorizzazione a livello di oggetto, restituire solo il minimo dei dati necessario e registrare le query di appartenenza in modo da rilevare enumerazioni anomale.