La revue de sécurité a relevé que les écritures de TimeEntry (Post/Patch/Delete)
étaient gardées par time-tracking.entries.view : une permission de lecture
accordait l'écriture (confusion lecture/écriture, least-privilege).
- Ajout de la permission time-tracking.entries.manage (catalogue cohérent avec
les autres modules en view/manage).
- Écritures TimeEntry recâblées sur entries.manage ; self-service conservé
(object.getUser() == user). Lecture inchangée (entries.view).
Matthieu
4a7fd46493