هذه الصفحة سجلّ لفحص ذاتي يجريه المطوّر. وهي ليست شهادة أو تدقيقًا من جهة خارجية. كما ننشر معها ما الذي نفحصه تحديدًا، لذا يمكنك الاستعانة بها عند اتخاذ قرار اعتماد البرنامج.
لا توجد في v1.11.0 أي مشكلات غير مصحَّحة بدرجة خطورة «عالية» أو «متوسطة» (تاريخ الفحص: 2026-10-28).
شمل هذا الفحص التغييرات منذ v1.10.0 (تكامل Claude، وألوان النص والخلفية والفواصل في النص المنسَّق، وغيرها)، كما أُصلحت مشكلات كانت موجودة في الإصدارات السابقة. إذا كنت تستخدم v1.10.0 أو إصدارًا أقدم، فنوصي بالتحديث إلى v1.11.0.
| الفحص | الأدوات المستخدمة (الإصدار) | ما اكتُشف (عالية / متوسطة / منخفضة) | الإجراء المتخذ |
|---|---|---|---|
| المكتبات التابعة | GitHub Advisory Database، FriendsOfPHP security-advisories (بيانات بتاريخ 2026-10-28؛ 89 حزمة) | 0 / 0 / 0 | لا توجد ثغرات معروفة في المكتبات المضمَّنة في ملفات التوزيع. وقد عولجت الثغرات المعروفة في مكتبات التطوير فقط بتحديثها في v1.11.0 (لا تُضمَّن مكتبات التطوير في ملفات التوزيع) |
| التحليل الثابت ومراجعة الشيفرة | Psalm 5.26.1 (تحليل taint)، وPHPStan 2.1.17 (المستوى 5)، وSemgrep 1.182.1، ومراجعة يدوية للشيفرة (التغييرات منذ v1.10.0: واجهة API ورموز تكامل Claude، والنص المنسَّق، والبقاء مسجَّل الدخول، وتحديثات البرنامج؛ إضافةً إلى مخرجات الروابط في جميع الشاشات) | 1 / 1 / 3 | أُصلحت المشكلات «العالية» و«المتوسطة» ومشكلتان «منخفضتان» في v1.11.0. أما المشكلة «المنخفضة» المتبقية فلا تحدث إلا بإجراءات المستخدم نفسه، وتأكَّد أن تأثيرها محدود. وكانت المشكلة «العالية» موجودة في الإصدارات السابقة |
| تسرّب المعلومات السرية | gitleaks 8.24.2 | 0 / 0 / 0 | فُحصت الشيفرة المصدرية وملفات التوزيع كلاهما. وكانت الحالتان المكتشفتان إنذارين كاذبين (مثل سلاسل نصية نموذجية داخل مكتبات خارجية) |
| التحقق من الإصلاحات | التحقق من السلوك في بيئة الاختبار (PHP 8.3، MariaDB 10.11، Apache 2.4، Nginx 1.24، Chromium) | — | التأكد لكل ملاحظة من أن المشكلة التي كانت قائمة قبل الإصلاح لم تعد تتكرر |
| الفحص الديناميكي | Nuclei v3.11.1 (القوالب v10.5.1)، أُجري دون تسجيل الدخول وبصفة المسؤول والعضو | 0 / 0 / 0 | لا توجد مشكلات |
| فحص الصلاحيات | PHPUnit 12.5 (454 اختبارًا آليًا؛ إضافةً إلى الفحوص السابقة، التأكد من أن واجهة API لتكامل Claude ترفض الطلبات من دون رمز، أو برمز للقراءة فقط، أو من مستخدمين غير مسموح لهم، أو عند إيقاف الميزة، وأنها لا تصل أبدًا إلى مشاريع لم ينضم إليها المستخدم) | 0 / 0 / 0 | لا توجد مشكلات |
| التحقق حسب تكوين الخادم | يدوي (طريقتان لوضع المجلد العام في Apache 2.4 وNginx 1.24؛ 39 عنوان URL تشمل ملفات الإعدادات والسجلات والجلسات والملفات المحفوظة وغيرها) | 0 / 0 / 1 | أُصلح في v1.11.0: يُرفض الآن الوصول المباشر إلى مجلد ملفات الإصدارات القديمة (files) بالكامل في Apache أيضًا. لا مشكلات أخرى |
| قائمة التحقق | OWASP ASVS 5.0 المستوى 1 (70 بندًا) | استيفاء 50 بندًا من أصل 56 بندًا منطبقًا | لم تُراجَع هذه المرة (تبقى نتيجة v1.10.0 سارية) |
| إضافة تكامل Claude | npm audit، وgitleaks 8.24.2، وmcpb validate، ومراجعة يدوية للشيفرة (geckoflag-1.0.0.mcpb) | 0 / 0 / 0 | لا توجد ثغرات معروفة تؤثر في المكتبات المضمَّنة في ملف التوزيع. وتم التحقق من طريقة التعامل مع رمز API ومن تقييد وجهات الطلبات (HTTPS فقط، ودون تتبّع عمليات إعادة التوجيه) |