Esta página é um registro de autoavaliação feita pelo desenvolvedor. Não se trata de uma certificação nem de uma auditoria feita por terceiros. Como também publicamos o que é testado, use estas informações como apoio na decisão de adotar o GeckoFlag.
A v1.11.0 não tem problemas não corrigidos de gravidade “alta” ou “média” (datas dos testes: 2026-10-28).
Esta rodada testou as mudanças desde a v1.10.0 (a integração com o Claude, as cores de texto e de fundo e os divisores do texto formatado, entre outras) e também corrigiu problemas que já existiam em versões anteriores. Se você usa a v1.10.0 ou anterior, recomendamos atualizar para a v1.11.0.
| Teste | Ferramentas (versão) | Detectados (alta / média / baixa) | Ação |
|---|---|---|---|
| Dependências | GitHub Advisory Database, FriendsOfPHP security-advisories (dados de 2026-10-28; 89 pacotes) | 0 / 0 / 0 | Nenhuma vulnerabilidade conhecida nas bibliotecas incluídas nos arquivos de distribuição. As vulnerabilidades conhecidas das bibliotecas de desenvolvimento foram resolvidas com a atualização na v1.11.0 (bibliotecas de desenvolvimento não são incluídas nos arquivos de distribuição) |
| Análise estática e revisão de código | Psalm 5.26.1 (análise taint), PHPStan 2.1.17 (nível 5), Semgrep 1.182.1, revisão manual de código (mudanças desde a v1.10.0: API e tokens da integração com o Claude, texto formatado, permanência do login, atualizações do software; além da saída de links em todas as telas) | 1 / 1 / 3 | Os problemas de gravidade “alta” e “média” e 2 dos de gravidade “baixa” foram corrigidos na v1.11.0. O problema “baixo” restante só ocorre por ações do próprio usuário, e foi confirmado que seu impacto é limitado. O problema “alto” já existia em versões anteriores |
| Segredos expostos | gitleaks 8.24.2 | 0 / 0 / 0 | Foram verificados tanto o código-fonte quanto os arquivos de distribuição. As 2 detecções foram falsos positivos (como strings de exemplo em bibliotecas externas) |
| Confirmação das correções | Testes de funcionamento no ambiente de testes (PHP 8.3, MariaDB 10.11, Apache 2.4, Nginx 1.24, Chromium) | — | Para cada apontamento, confirmamos que o problema anterior à correção não se reproduz mais |
| Varredura dinâmica | Nuclei v3.11.1 (templates v10.5.1), sem login e como administrador e membro | 0 / 0 / 0 | Sem problemas |
| Testes de permissões | PHPUnit 12.5 (454 testes automatizados. Além dos testes anteriores, confirmam que a API da integração com o Claude recusa solicitações sem token, com token somente leitura, de usuários sem permissão e com o recurso desativado, e que nunca chega a projetos dos quais o usuário não participa) | 0 / 0 / 0 | Sem problemas |
| Verificação por configuração de servidor | Manual (Apache 2.4 e Nginx 1.24, 2 formas de posicionar a pasta pública; 39 URLs, incluindo arquivos de configuração, logs, sessões e arquivos armazenados) | 0 / 0 / 1 | Corrigido na v1.11.0: o acesso direto à pasta de arquivos de versões anteriores (files) agora é recusado por completo também no Apache. Sem outros problemas |
| Checklist | OWASP ASVS 5.0 nível 1 (70 itens) | Atende a 50 dos 56 itens aplicáveis | Não revisado desta vez (mantido o resultado da v1.10.0) |
| Extensão da integração com o Claude | npm audit, gitleaks 8.24.2, mcpb validate, revisão manual de código (geckoflag-1.0.0.mcpb) | 0 / 0 / 0 | Nenhuma vulnerabilidade conhecida que afete as bibliotecas incluídas no arquivo de distribuição. Verificados o tratamento do token da API e as restrições sobre o destino das solicitações (somente HTTPS, sem seguir redirecionamentos) |