Diese Seite dokumentiert Selbstprüfungen durch den Entwickler. Es handelt sich nicht um eine Zertifizierung oder ein Audit durch eine unabhängige Stelle. Da wir zugleich offenlegen, was geprüft wird, können Sie diese Angaben als Grundlage für Ihre Entscheidung über den Einsatz nutzen.
In v1.10.0 gibt es keine offenen Probleme mit dem Schweregrad „Hoch“ oder „Mittel“ (Prüfzeitraum: 2026-10-16 bis 17).
Die erste Prüfung wurde an der vorherigen veröffentlichten Version v1.9.0 durchgeführt; die dabei gefundenen Probleme wurden zugleich behoben.
| Prüfung | Werkzeuge (Version) | Funde (Hoch / Mittel / Niedrig) | Maßnahme |
|---|---|---|---|
| Abhängigkeiten | GitHub Advisory Database, FriendsOfPHP security-advisories (Datenstand 2026-10-16; 89 Pakete) | 1 / 0 / 0 | Bekannte Sicherheitslücke in CakePHP 5.3.6. In v1.10.0 durch das Update auf CakePHP 5.3.7 behoben. Bibliotheken für die Entwicklung sind in den Distributionsdateien nicht enthalten |
| Statische Analyse / Code-Review | Psalm 5.26.1 (Taint-Analyse), PHPStan 2.1.17 (Level 5), Semgrep 1.181.0, manuelles Code-Review (Upload, Berechtigungen, Authentifizierung, XSS, Updates, Installer, IP-Beschränkung) | 1 / 7 / 12 | Alle in v1.10.0 behoben. Außerdem 5 von 6 Funden der Stufe „Info“ behoben |
| Geheime Daten | gitleaks 8.24.2 | 0 / 0 / 0 | Beide Treffer (2) waren Fehlalarme (z. B. Beispielzeichenfolgen in externen Bibliotheken) |
| Prüfung der Korrekturen | Funktionsprüfung in der Testumgebung (PHP 8.3, MariaDB 10.11, Apache 2.4, Chromium) | — | Für jeden Fund bestätigt, dass sich das ursprüngliche Problem nicht mehr reproduzieren lässt |
| Dynamischer Scan | Nuclei v3.11.1 (Vorlagen v10.5.0), ohne Anmeldung sowie als Administrator und Mitglied | 0 / 0 / 0 | Keine Probleme |
| Berechtigungsprüfung | PHPUnit 12.5 (256 automatisierte Tests; als Administrator, Mitglied, Gast und ohne Anmeldung wurde bestätigt, dass auch durch Ändern der ID in der URL kein Zugriff auf Daten von Projekten, an denen man nicht beteiligt ist, oder auf Administrationsseiten möglich ist) | 0 / 0 / 1 | Problem (Niedrig), bei dem sich beim Aufruf einiger Administrationsseiten ohne Anmeldung erkennen ließ, dass die Seite existiert; in v1.10.0 behoben |
| Prüfung je Serverkonfiguration | Manuell (Apache 2.4 und Nginx 1.24, je 2 Anordnungen des öffentlichen Ordners; 28 URLs, darunter Konfigurationsdateien, Protokolle und gespeicherte Dateien) | — | Apache: mit der Standardkonfiguration keine Probleme. Nginx: keine Probleme, wenn die empfohlenen Einstellungen ergänzt werden (ohne sie sind nicht öffentliche Dateien einsehbar – bitte prüfen Sie die empfohlenen Einstellungen) |
| Checkliste | OWASP ASVS 5.0 Level 1 (70 Punkte) | 50 von 56 anwendbaren Punkten erfüllt | 14 Punkte nicht anwendbar (z. B. nicht genutzte Funktionen). Die 6 nicht erfüllten Punkte (z. B. Passwortanforderungen) werden durch andere Maßnahmen abgedeckt |