Kimai: API invoice endpoint missing customer-level access control (IDOR)

La API de facturas de Kimai permite que los líderes de equipo vean todas las facturas del sistema, incluidas las de clientes a los que no deberían tener acceso. Esto ocurre porque el sistema solo verifica si el usuario tiene permiso general, pero no valida si realmente trabaja con ese cliente específico.

El endpoint GET /api/invoices/{id} implementa control de acceso basado en roles (ROLE_TEAMLEAD) pero no valida la propiedad del cliente, lo que resulta en una vulnerabilidad de Referencia Directa a Objeto Inseguro (IDOR). Un usuario autenticado con ROLE_TEAMLEAD puede enumerar y recuperar datos sensibles de facturas en todos los clientes, independientemente de la asignación de equipo. Esto compromete la confidencialidad de datos financieros y comerciales a través de límites organizacionales.