Esta página é um registro de autoavaliação feita pelo desenvolvedor. Não se trata de uma certificação nem de uma auditoria feita por terceiros. Como também publicamos o que é testado, use estas informações como apoio na decisão de adotar o GeckoFlag.
A v1.10.0 não tem problemas não corrigidos de gravidade “alta” ou “média” (datas dos testes: 2026-10-16 a 17).
A primeira rodada de testes foi feita na versão publicada anterior, a v1.9.0, e as correções foram realizadas ao mesmo tempo.
| Teste | Ferramentas (versão) | Detectados (alta / média / baixa) | Ação |
|---|---|---|---|
| Dependências | GitHub Advisory Database, FriendsOfPHP security-advisories (dados de 2026-10-16; 89 pacotes) | 1 / 0 / 0 | Vulnerabilidade conhecida do CakePHP 5.3.6. Corrigida na v1.10.0 com a atualização para o CakePHP 5.3.7. As bibliotecas de desenvolvimento não são incluídas nos arquivos distribuídos |
| Análise estática e revisão de código | Psalm 5.26.1 (análise de taint), PHPStan 2.1.17 (nível 5), Semgrep 1.181.0, revisão manual do código (envios, permissões, autenticação, XSS, atualizações, instalador, restrição por IP) | 1 / 7 / 12 | Todos corrigidos na v1.10.0. Além disso, 5 dos 6 itens “informativos” foram corrigidos |
| Segredos expostos | gitleaks 8.24.2 | 0 / 0 / 0 | As 2 detecções eram falsos positivos (strings de exemplo em bibliotecas externas etc.) |
| Confirmação das correções | Testes de funcionamento no ambiente de testes (PHP 8.3, MariaDB 10.11, Apache 2.4, Chromium) | — | Para cada apontamento, confirmamos que o problema anterior à correção não se reproduz mais |
| Varredura dinâmica | Nuclei v3.11.1 (templates v10.5.0), sem login e como administrador e membro | 0 / 0 / 0 | Sem problemas |
| Testes de permissões | PHPUnit 12.5 (256 testes automatizados que confirmam que administradores, membros, convidados e usuários sem login não conseguem acessar dados de projetos dos quais não participam nem as telas de administração, mesmo trocando o ID na URL) | 0 / 0 / 1 | Corrigido na v1.10.0 um problema (baixa) em que, ao abrir algumas telas de administração sem login, era possível saber que a tela existia |
| Verificação por configuração de servidor | Manual (Apache 2.4 e Nginx 1.24, 2 formas de posicionar a pasta pública; 28 URLs, incluindo arquivos de configuração, logs e arquivos armazenados) | — | Apache: sem problemas com a configuração padrão. Nginx: sem problemas após adicionar a configuração recomendada (sem ela, arquivos privados ficam visíveis; consulte as configurações recomendadas) |
| Checklist | OWASP ASVS 5.0 nível 1 (70 itens) | Atende a 50 dos 56 itens aplicáveis | 14 itens não aplicáveis (recursos não utilizados etc.). Os 6 itens não atendidos (requisitos de senha etc.) são tratados por outras medidas |