このページは開発者による自己検査の記録です第三者機関による認証や監査ではありません。また、何を検査しているかをあわせて公開していますので、導入の判断材料としてご利用ください。
v1.10.0 では、重大度「高」「中」の未修正の問題はありません（検査日：2026-10-16〜17）。
第1回の検査は、ひとつ前の公開版 v1.9.0を対象に行い、あわせて修正を実施いたしました。
| 検査 | 使用ツール（バージョン） | 検出（高 / 中 / 低） | 対応 |
|---|---|---|---|
| 依存ライブラリ | GitHub Advisory Database、FriendsOfPHP security-advisories（2026-10-16 時点のデータ。89 パッケージ） | 1 / 0 / 0 | CakePHP 5.3.6 の既知の脆弱性。v1.10.0 で CakePHP 5.3.7 に更新して修正。開発用ライブラリは配布ファイルに含めません |
| 静的解析・コードレビュー | Psalm 5.26.1（taint 解析）、PHPStan 2.1.17（レベル 5）、Semgrep 1.181.0、手動のコードレビュー（アップロード、権限、認証、XSS、更新、インストーラー、IP 制限） | 1 / 7 / 12 | すべて v1.10.0 で修正。ほかに「情報」6 件のうち 5 件を修正 |
| 秘密情報の混入 | gitleaks 8.24.2 | 0 / 0 / 0 | 検出 2 件はいずれも誤検知（外部ライブラリ内のサンプル文字列など） |
| 修正の確認 | 検証環境（PHP 8.3、MariaDB 10.11、Apache 2.4、Chromium）での動作確認 | — | 指摘ごとに、修正前の問題が再現しないことを確認 |
| 動的スキャン | Nuclei v3.11.1（テンプレート v10.5.0）。未ログイン・管理者・メンバーで実施 | 0 / 0 / 0 | 問題なし |
| 権限の検査 | PHPUnit 12.5（自動テスト 256 件。管理者・メンバー・ゲスト・未ログインで、参加していないプロジェクトのデータや管理者画面に、URL の ID を書き換えてもアクセスできないことを確認） | 0 / 0 / 1 | 未ログインで一部の管理者画面を開くと、画面があることが分かる問題（低）を v1.10.0 で修正 |
| サーバー構成別の確認 | 手動（Apache 2.4、Nginx 1.24 の公開フォルダーの置き方 2 種類。設定ファイル・ログ・保存ファイルなど 28 の URL） | — | Apache は標準の設定で問題なし。Nginx は推奨設定を追加すれば問題なし（追加しない場合は非公開ファイルが見えるため、推奨設定をご確認ください） |
| チェックリスト | OWASP ASVS 5.0 レベル 1（70 項目） | 対象 56 項目中 50 項目を満たす | 対象外 14 項目（使っていない機能など）。満たしていない 6 項目（パスワードの条件など）は、別途手法にて対策 |