# Journal 2026-10-07

## Fehlerfinder (Lars) – Erstdurchlauf Sicherheit/Check-in

Schwere Befunde behoben: öffentliche Abmeldung (`/cancellation`, `/my-bookings`) in `security.yaml` freigegeben; Warteliste `leave` verlangt passende E-Mail; QR-Scanner-Validate gibt keine `bookingToken`-Liste mehr zurück; Check-in-Routen ohne doppeltes `/appointments`-Präfix (`/appointments/scan`, `/appointments/check-in/…`).