Esta página es un registro de las autoevaluaciones realizadas por el desarrolladorNo se trata de una certificación ni de una auditoría de un organismo externo. Como también publicamos qué se revisa, puedes usar esta información como referencia para decidir si adoptar GeckoFlag.
En v1.11.0 no hay problemas sin corregir de gravedad «alta» ni «media» (fecha de las pruebas: 2026-10-28).
En esta ronda se probaron los cambios desde v1.10.0 (la integración con Claude, los colores de texto y de fondo y los separadores del texto enriquecido, entre otros) y también se corrigieron problemas que ya existían en versiones anteriores. Si usa v1.10.0 o una versión anterior, le recomendamos actualizar a v1.11.0.
| Prueba | Herramientas (versión) | Hallazgos (alta / media / baja) | Medidas tomadas |
|---|---|---|---|
| Bibliotecas de dependencias | GitHub Advisory Database, FriendsOfPHP security-advisories (datos al 2026-10-28; 89 paquetes) | 0 / 0 / 0 | No hay vulnerabilidades conocidas en las bibliotecas incluidas en los archivos de distribución. Las vulnerabilidades conocidas de las bibliotecas de desarrollo se resolvieron actualizándolas en v1.11.0 (las bibliotecas de desarrollo no se incluyen en los archivos de distribución) |
| Análisis estático y revisión de código | Psalm 5.26.1 (análisis taint), PHPStan 2.1.17 (nivel 5), Semgrep 1.182.1, revisión manual del código (cambios desde v1.10.0: API y tokens de la integración con Claude, texto enriquecido, mantener la sesión iniciada, actualizaciones del software; además, la salida de enlaces en todas las pantallas) | 1 / 1 / 3 | Los problemas de gravedad «alta» y «media» y 2 de los de gravedad «baja» se corrigieron en v1.11.0. El problema «bajo» restante solo ocurre por acciones del propio usuario y se confirmó que su impacto es limitado. El problema «alto» ya existía en versiones anteriores |
| Filtración de secretos | gitleaks 8.24.2 | 0 / 0 / 0 | Se revisaron tanto el código fuente como los archivos de distribución. Las 2 detecciones fueron falsos positivos (cadenas de ejemplo en bibliotecas externas, etc.) |
| Verificación de las correcciones | Pruebas de funcionamiento en el entorno de pruebas (PHP 8.3, MariaDB 10.11, Apache 2.4, Nginx 1.24, Chromium) | — | Para cada hallazgo, se confirmó que el problema anterior a la corrección ya no se reproduce |
| Escaneo dinámico | Nuclei v3.11.1 (plantillas v10.5.1), sin sesión iniciada y como administrador y miembro | 0 / 0 / 0 | Sin problemas |
| Pruebas de permisos | PHPUnit 12.5 (454 pruebas automatizadas. Además de lo anterior, se confirmó que la API de la integración con Claude rechaza las solicitudes sin token, con un token de solo lectura, de usuarios sin permiso y con la función desactivada, y que nunca llega a proyectos en los que el usuario no participa) | 0 / 0 / 0 | Sin problemas |
| Revisión por configuración de servidor | Manual (Apache 2.4 y Nginx 1.24, con 2 formas de ubicar la carpeta pública; 39 URL, entre ellas archivos de configuración, registros, sesiones y archivos guardados) | 0 / 0 / 1 | Corregido en v1.11.0: ahora también en Apache se rechaza todo acceso directo a la carpeta de archivos de versiones anteriores (files). Sin otros problemas |
| Lista de verificación | OWASP ASVS 5.0 nivel 1 (70 requisitos) | Se cumplen 50 de los 56 requisitos aplicables | No se revisó en esta ocasión (se mantiene el resultado de v1.10.0) |
| Extensión de la integración con Claude | npm audit, gitleaks 8.24.2, mcpb validate, revisión manual del código (geckoflag-1.0.0.mcpb) | 0 / 0 / 0 | No hay vulnerabilidades conocidas que afecten a las bibliotecas incluidas en el archivo de distribución. Se comprobó el manejo del token de la API y las restricciones sobre el destino de las solicitudes (solo HTTPS, sin seguir redirecciones) |