このページは開発者による自己検査の記録です第三者機関による認証や監査ではありません。また、何を検査しているかをあわせて公開していますので、導入の判断材料としてご利用ください。
v1.11.0 では、重大度「高」「中」の未修正の問題はありません（検査日：2026-10-28）。
v1.10.0 からの変更（Claude 連携、リッチテキストの文字色・背景色・区切り線など）を対象に検査し、あわせて以前のバージョンから含まれていた問題も修正しました。v1.10.0 以前をお使いの場合は、v1.11.0 への更新をおすすめします。
| 検査 | 使用ツール（バージョン） | 検出（高 / 中 / 低） | 対応 |
|---|---|---|---|
| 依存ライブラリ | GitHub Advisory Database、FriendsOfPHP security-advisories（2026-10-28 時点のデータ。89 パッケージ） | 0 / 0 / 0 | 配布ファイルに含まれるライブラリに既知の脆弱性はありません。開発用ライブラリの既知の脆弱性は v1.11.0 で更新して解消しました（開発用ライブラリは配布ファイルに含めません） |
| 静的解析・コードレビュー | Psalm 5.26.1（taint 解析）、PHPStan 2.1.17（レベル 5）、Semgrep 1.182.1、手動のコードレビュー（v1.10.0 からの変更部分：Claude 連携の API とトークン、リッチテキスト、ログインの継続、ソフトウェア更新。あわせて全画面のリンクの出力） | 1 / 1 / 3 | 「高」「中」と「低」2 件を v1.11.0 で修正。残る「低」1 件は利用者本人の操作でのみ起きるもので、影響が限られることを確認。「高」1 件は以前のバージョンから含まれていた問題です |
| 秘密情報の混入 | gitleaks 8.24.2 | 0 / 0 / 0 | ソースコードと配布ファイルの両方を確認。検出 2 件はいずれも誤検知（外部ライブラリ内のサンプル文字列など） |
| 修正の確認 | 検証環境（PHP 8.3、MariaDB 10.11、Apache 2.4、Nginx 1.24、Chromium）での動作確認 | — | 指摘ごとに、修正前の問題が再現しないことを確認 |
| 動的スキャン | Nuclei v3.11.1（テンプレート v10.5.1）。未ログイン・管理者・メンバーで実施 | 0 / 0 / 0 | 問題なし |
| 権限の検査 | PHPUnit 12.5（自動テスト 454 件。前回の内容に加え、Claude 連携の API で、トークンなし・読み取り専用のトークン・許可されていないユーザー・機能が無効の場合に拒否されること、参加していないプロジェクトに届かないことを確認） | 0 / 0 / 0 | 問題なし |
| サーバー構成別の確認 | 手動（Apache 2.4、Nginx 1.24 の公開フォルダーの置き方 2 種類。設定ファイル・ログ・セッション・保存ファイルなど 39 の URL） | 0 / 0 / 1 | 旧バージョンのファイル保存フォルダー（files）への直接アクセスを、Apache でもすべて拒否するよう v1.11.0 で修正。ほかは問題なし |
| チェックリスト | OWASP ASVS 5.0 レベル 1（70 項目） | 対象 56 項目中 50 項目を満たす | 今回は見直しを行っていません（前回 v1.10.0 の結果を引き継ぎ） |
| Claude 連携の拡張機能 | npm audit、gitleaks 8.24.2、mcpb validate、手動のコードレビュー（geckoflag-1.0.0.mcpb） | 0 / 0 / 0 | 配布ファイルに含まれるライブラリに、影響する既知の脆弱性はありません。API トークンの扱いと、通信先の制限（HTTPS のみ・リダイレクトを追わない）を確認 |