Esta página es un registro de las autoevaluaciones realizadas por el desarrolladorNo se trata de una certificación ni de una auditoría de un organismo externo. Como también publicamos qué se revisa, puedes usar esta información como referencia para decidir si adoptar GeckoFlag.
En v1.10.0 no hay problemas sin corregir de gravedad «alta» ni «media» (fecha de las pruebas: 2026-10-16 a 2026-10-17).
La primera ronda de pruebas se realizó sobre la versión publicada anterior, v1.9.0, y al mismo tiempo se aplicaron las correcciones.
| Prueba | Herramientas (versión) | Hallazgos (alta / media / baja) | Medidas tomadas |
|---|---|---|---|
| Bibliotecas de dependencias | GitHub Advisory Database, FriendsOfPHP security-advisories (datos al 2026-10-16; 89 paquetes) | 1 / 0 / 0 | Vulnerabilidad conocida de CakePHP 5.3.6. Corregida en v1.10.0 con la actualización a CakePHP 5.3.7. Las bibliotecas de desarrollo no se incluyen en los archivos distribuidos |
| Análisis estático y revisión de código | Psalm 5.26.1 (análisis de taint), PHPStan 2.1.17 (nivel 5), Semgrep 1.181.0, revisión manual del código (subida de archivos, permisos, autenticación, XSS, actualización, instalador, restricción por IP) | 1 / 7 / 12 | Todos corregidos en v1.10.0. Además, se corrigieron 5 de los 6 hallazgos «informativos» |
| Filtración de secretos | gitleaks 8.24.2 | 0 / 0 / 0 | Las 2 detecciones fueron falsos positivos (cadenas de ejemplo dentro de bibliotecas externas, etc.) |
| Verificación de las correcciones | Pruebas de funcionamiento en el entorno de pruebas (PHP 8.3, MariaDB 10.11, Apache 2.4, Chromium) | — | Para cada hallazgo, se confirmó que el problema anterior a la corrección ya no se reproduce |
| Escaneo dinámico | Nuclei v3.11.1 (plantillas v10.5.0), sin sesión iniciada y como administrador y miembro | 0 / 0 / 0 | Sin problemas |
| Pruebas de permisos | PHPUnit 12.5 (256 pruebas automatizadas. Se confirmó que, como administrador, miembro, invitado y sin sesión iniciada, no se puede acceder a datos de proyectos de los que no se es miembro ni a las pantallas de administración, aunque se cambie el ID en la URL) | 0 / 0 / 1 | Se corrigió en v1.10.0 un problema (bajo) por el que, al abrir algunas pantallas de administración sin sesión iniciada, se podía saber que esas pantallas existen |
| Revisión por configuración de servidor | Manual (Apache 2.4 y Nginx 1.24, con 2 formas de ubicar la carpeta pública; 28 URL, entre ellas archivos de configuración, registros y archivos guardados) | — | Apache: sin problemas con la configuración estándar. Nginx: sin problemas si se agrega la configuración recomendada (si no se agrega, los archivos privados quedan visibles, así que revisa la configuración recomendada) |
| Lista de verificación | OWASP ASVS 5.0 nivel 1 (70 requisitos) | Se cumplen 50 de los 56 requisitos aplicables | 14 requisitos no aplicables (funciones que no se usan, etc.). Los 6 requisitos no cumplidos (condiciones de las contraseñas, etc.) se cubren con otras medidas |