Kimai: API invoice endpoint missing customer-level access control (IDOR)

A API de faturas do Kimai permite que líderes de equipe vejam todas as faturas do sistema, incluindo as de clientes que não deveriam ter acesso. Isso ocorre porque o sistema só verifica se o usuário tem permissão geral, mas não valida se ele realmente trabalha com esse cliente específico.

O endpoint GET /api/invoices/{id} implementa controle de acesso baseado em função (ROLE_TEAMLEAD), mas não valida a propriedade do cliente, resultando em uma vulnerabilidade de Referência Direta a Objeto Inseguro (IDOR). Um usuário autenticado com ROLE_TEAMLEAD pode enumerar e recuperar dados sensíveis de faturas em todos os clientes, independentemente da atribuição de equipe. Isso compromete a confidencialidade de dados financeiros e comerciais entre limites organizacionais.