API returns timesheet entries a user should not be authorized to view
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
La API de Kimai retorna incorrectamente todas las entradas de horas a usuarios que deberían ver solo las horas de sus equipos, mientras que la interfaz web restringe correctamente estos datos. Esto permite que información sensible de seguimiento de tiempo sea accedida por usuarios no autorizados a través de la API.
Existe una inconsistencia en la verificación de permisos entre la interfaz y la API de Kimai para el permiso `view_other_timesheet`. El endpoint de la API falla al aplicar el filtrado basado en equipos al retornar entradas de horas, permitiendo que usuarios autenticados con este permiso obtengan todas las horas independientemente de la participación en equipos, mientras que la interfaz web restringe correctamente la visibilidad. La vulnerabilidad afecta la confidencialidad de los datos de seguimiento de tiempo de la aplicación.