API returns timesheet entries a user should not be authorized to view

A API do Kimai retorna incorretamente todas as entradas de horas para usuários que deveriam ver apenas as horas de seus times, enquanto a interface web restringe corretamente esses dados. Isso permite que informações sensíveis de rastreamento de tempo sejam acessadas por usuários não autorizados através da API.

Existe uma inconsistência na verificação de permissões entre a interface e a API do Kimai para a permissão `view_other_timesheet`. O endpoint da API falha em aplicar a filtragem baseada em times ao retornar entradas de horas, permitindo que usuários autenticados com essa permissão obtenham todas as horas independentemente da participação em times, enquanto a interface web restringe corretamente a visibilidade. A vulnerabilidade afeta a confidencialidade dos dados de rastreamento de tempo da aplicação.