Mattmumford-Git

**Nome do Software Vulnerável e Versões Afetadas** Kimai versões anteriores a 2.63.0 **Description** Um problema de autorização inadequada existe nos endpoints de acesso de equipe. Usuários autenticados com permissões de edição de equipe, mas com acesso apenas de leitura, podem conceder acesso de equipe a clientes, projetos ou atividades. Isso ocorre devido a verificações de permissão insuficientes ao enviar requisições POST para os endpoints de acesso de equipe, permitindo a modificação de listas de controle de acesso para entidades que o usuário não deveria ter autorização para alterar. **Recommendations** Atualize para a versão 2.63.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Kimai versões anteriores a 2.65.0 **Descrição** Um problema de autorização inadequada existe nos endpoints padrão de criação de equipe. Um usuário autenticado com privilégios de gerenciamento de permissões de projeto pode obter direitos de administração de líder de equipe não autorizados sobre uma equipe existente. Isso ocorre quando um usuário cria ou usa um cliente, projeto ou atividade com um nome que corresponda a uma equipe existente. O sistema reutiliza a equipe existente e define o usuário atual como líder da equipe sem verificar a autorização necessária. Os endpoints de API afetados são 'POST /api/customers/{id}/team', 'POST /api/projects/{id}/team' e 'POST /api/activities/{id}/team'. **Recomendações** Atualize o Kimai para a versão 2.65.0.

**Nome do Software Vulnerável e Versões Afetadas** Kimai versões anteriores a 2.63.0 **Description** Um problema de lógica de negócio e autorização inadequada existe no endpoint de API 'PATCH /api/teams/{id}'. O sistema remove todos os membros atuais da equipe antes de validar a nova lista de membros fornecida na requisição. Um usuário autenticado com permissões de edição de equipe pode enviar um payload `members` malformado, fazendo com que o sistema exclua os registros de associação existentes, mesmo que um erro de validação seja retornado. Este processo ignora as proteções que normalmente impedem a remoção de líderes de equipe, podendo deixar uma equipe sem nenhum membro ou liderança e interrompendo o controle de acesso. **Recommendations** Atualize para a versão 2.63.0 ou posterior. Evite usar o parâmetro `members` no endpoint 'PATCH /api/teams/{id}' até que a atualização seja aplicada.