Questa pagina documenta i controlli eseguiti dallo sviluppatore stessoNon si tratta di una certificazione o di un audit di un ente terzo. Poiché pubblichiamo anche che cosa viene controllato, La invitiamo a utilizzare queste informazioni come elemento di valutazione per l'adozione.
Nella v1.10.0 non sono presenti problemi non corretti di gravità «alta» o «media» (date dei controlli: 2026-10-16–17).
Il primo ciclo di controlli è stato eseguito sulla versione pubblicata precedente, la v1.9.0, e le relative correzioni sono state apportate contestualmente.
| Controllo | Strumenti (versione) | Rilevati (alta / media / bassa) | Intervento |
|---|---|---|---|
| Librerie dipendenti | GitHub Advisory Database, FriendsOfPHP security-advisories (dati al 2026-10-16; 89 pacchetti) | 1 / 0 / 0 | Vulnerabilità nota di CakePHP 5.3.6. Corretta nella v1.10.0 con l'aggiornamento a CakePHP 5.3.7. Le librerie di sviluppo non sono incluse nei file distribuiti |
| Analisi statica e revisione del codice | Psalm 5.26.1 (analisi taint), PHPStan 2.1.17 (livello 5), Semgrep 1.181.0, revisione manuale del codice (caricamento, permessi, autenticazione, XSS, aggiornamento, programma di installazione, restrizione IP) | 1 / 7 / 12 | Tutti corretti nella v1.10.0. Corretti inoltre 5 dei 6 rilievi di livello «informativo» |
| Presenza di dati segreti | gitleaks 8.24.2 | 0 / 0 / 0 | I 2 rilevamenti erano entrambi falsi positivi (stringhe di esempio all'interno di librerie esterne, ecc.) |
| Verifica delle correzioni | Verifica del funzionamento nell'ambiente di test (PHP 8.3, MariaDB 10.11, Apache 2.4, Chromium) | — | Per ciascun rilievo, verificato che il problema precedente alla correzione non si riproduca |
| Scansione dinamica | Nuclei v3.11.1 (template v10.5.0), senza autenticazione e come amministratore e membro | 0 / 0 / 0 | Nessun problema |
| Controllo dei permessi | PHPUnit 12.5 (256 test automatici; verificato che amministratori, membri, ospiti e utenti non autenticati non possano accedere ai dati di progetti di cui non sono membri né alle schermate di amministrazione, nemmeno modificando l'ID nell'URL) | 0 / 0 / 1 | Corretto nella v1.10.0 un problema (bassa) per cui, aprendo alcune schermate di amministrazione senza aver effettuato l'accesso, era possibile capire che la schermata esisteva |
| Verifica per configurazione del server | Manuale (Apache 2.4 e Nginx 1.24, 2 disposizioni della cartella pubblica; 28 URL tra file di configurazione, log, file salvati, ecc.) | — | Apache: nessun problema con la configurazione predefinita. Nginx: nessun problema aggiungendo le impostazioni consigliate (senza di esse i file privati risultano visibili, quindi consulti le impostazioni consigliate) |
| Checklist | OWASP ASVS 5.0 livello 1 (70 voci) | Soddisfatte 50 delle 56 voci applicabili | 14 voci non applicabili (funzioni non utilizzate, ecc.). Le 6 voci non soddisfatte (requisiti delle password, ecc.) sono coperte da altre misure |