Diese Seite dokumentiert Selbstprüfungen durch den Entwickler. Es handelt sich nicht um eine Zertifizierung oder ein Audit durch eine unabhängige Stelle. Da wir zugleich offenlegen, was geprüft wird, können Sie diese Angaben als Grundlage für Ihre Entscheidung über den Einsatz nutzen.
In v1.11.0 gibt es keine offenen Probleme mit dem Schweregrad „Hoch“ oder „Mittel“ (Prüfzeitraum: 2026-10-28).
Geprüft wurden die Änderungen seit v1.10.0 (die Claude-Integration, Text- und Hintergrundfarben sowie Trennlinien im formatierten Text u. a.); dabei wurden auch Probleme behoben, die bereits in früheren Versionen enthalten waren. Wenn Sie v1.10.0 oder älter verwenden, empfehlen wir das Update auf v1.11.0.
| Prüfung | Werkzeuge (Version) | Funde (Hoch / Mittel / Niedrig) | Maßnahme |
|---|---|---|---|
| Abhängigkeiten | GitHub Advisory Database, FriendsOfPHP security-advisories (Datenstand 2026-10-28; 89 Pakete) | 0 / 0 / 0 | Keine bekannten Schwachstellen in den Bibliotheken der Distributionsdateien. Bekannte Schwachstellen in reinen Entwicklungsbibliotheken wurden in v1.11.0 durch ein Update behoben (Entwicklungsbibliotheken sind nicht in den Distributionsdateien enthalten) |
| Statische Analyse / Code-Review | Psalm 5.26.1 (Taint-Analyse), PHPStan 2.1.17 (Level 5), Semgrep 1.182.1, manuelles Code-Review (Änderungen seit v1.10.0: API und Tokens der Claude-Integration, formatierter Text, angemeldet bleiben, Software-Updates; außerdem die Ausgabe von Links auf allen Bildschirmen) | 1 / 1 / 3 | Die Funde mit „Hoch“ und „Mittel“ sowie 2 Funde mit „Niedrig“ wurden in v1.11.0 behoben. Der verbleibende Fund mit „Niedrig“ tritt nur durch Aktionen des Benutzers selbst auf; seine Auswirkung ist nachweislich begrenzt. Der Fund mit „Hoch“ war bereits in früheren Versionen enthalten |
| Geheime Daten | gitleaks 8.24.2 | 0 / 0 / 0 | Sowohl der Quellcode als auch die Distributionsdateien wurden geprüft. Beide 2 Treffer waren Fehlalarme (z. B. Beispielzeichenfolgen in externen Bibliotheken) |
| Prüfung der Korrekturen | Funktionsprüfung in der Testumgebung (PHP 8.3, MariaDB 10.11, Apache 2.4, Nginx 1.24, Chromium) | — | Für jeden Fund bestätigt, dass sich das ursprüngliche Problem nicht mehr reproduzieren lässt |
| Dynamischer Scan | Nuclei v3.11.1 (Vorlagen v10.5.1), ohne Anmeldung sowie als Administrator und Mitglied | 0 / 0 / 0 | Keine Probleme |
| Berechtigungsprüfung | PHPUnit 12.5 (454 automatisierte Tests; zusätzlich zu den bisherigen Prüfungen wurde bestätigt, dass die API der Claude-Integration Anfragen ohne Token, mit schreibgeschütztem Token, von nicht berechtigten Benutzern und bei deaktivierter Funktion ablehnt und nie Projekte erreicht, denen der Benutzer nicht angehört) | 0 / 0 / 0 | Keine Probleme |
| Prüfung je Serverkonfiguration | Manuell (Apache 2.4 und Nginx 1.24, je 2 Anordnungen des öffentlichen Ordners; 39 URLs, darunter Konfigurationsdateien, Protokolle, Sitzungen und gespeicherte Dateien) | 0 / 0 / 1 | In v1.11.0 behoben: Direkter Zugriff auf den Dateiordner älterer Versionen (files) wird jetzt auch unter Apache vollständig abgelehnt. Sonst keine Probleme |
| Checkliste | OWASP ASVS 5.0 Level 1 (70 Punkte) | 50 von 56 anwendbaren Punkten erfüllt | Diesmal nicht überprüft (das Ergebnis von v1.10.0 gilt weiter) |
| Erweiterung für die Claude-Integration | npm audit, gitleaks 8.24.2, mcpb validate, manuelles Code-Review (geckoflag-1.0.0.mcpb) | 0 / 0 / 0 | Keine bekannten Schwachstellen, die die Bibliotheken in der Distributionsdatei betreffen. Geprüft wurden der Umgang mit dem API-Token und die Einschränkung der Anfrageziele (nur HTTPS, keine Weiterleitungen) |