หน้านี้เป็นบันทึกการตรวจสอบด้วยตนเองของนักพัฒนา ไม่ใช่การรับรองหรือการตรวจประเมินโดยหน่วยงานภายนอก นอกจากนี้เรายังเปิดเผยด้วยว่าตรวจสอบอะไรบ้าง โปรดใช้เป็นข้อมูลประกอบการตัดสินใจนำไปใช้งาน
v1.10.0 ไม่มีปัญหาที่ยังไม่ได้แก้ไขซึ่งมีความรุนแรงระดับ “สูง” หรือ “ปานกลาง” (วันที่ตรวจสอบ: 2026-10-16 ถึง 17)
การตรวจสอบครั้งที่ 1 ดำเนินการกับ v1.9.0 ซึ่งเป็นเวอร์ชันที่เผยแพร่ก่อนหน้า และได้ทำการแก้ไขไปพร้อมกันแล้ว
| การตรวจสอบ | เครื่องมือที่ใช้ (เวอร์ชัน) | ที่ตรวจพบ (สูง / ปานกลาง / ต่ำ) | การดำเนินการ |
|---|---|---|---|
| ไลบรารีที่ใช้ (Dependencies) | GitHub Advisory Database, FriendsOfPHP security-advisories (ข้อมูล ณ วันที่ 2026-10-16, 89 แพ็กเกจ) | 1 / 0 / 0 | ช่องโหว่ที่ทราบแล้วของ CakePHP 5.3.6 แก้ไขแล้วใน v1.10.0 โดยอัปเดตเป็น CakePHP 5.3.7 ไลบรารีสำหรับการพัฒนาไม่รวมอยู่ในไฟล์ที่แจกจ่าย |
| การวิเคราะห์แบบสถิตและ Code Review | Psalm 5.26.1 (taint analysis), PHPStan 2.1.17 (ระดับ 5), Semgrep 1.181.0, Code Review ด้วยตนเอง (การอัปโหลด สิทธิ์ การยืนยันตัวตน XSS การอัปเดต ตัวติดตั้ง การจำกัด IP) | 1 / 7 / 12 | แก้ไขทั้งหมดแล้วใน v1.10.0 นอกจากนี้ได้แก้ไขรายการระดับ “ข้อมูล” 5 จาก 6 รายการ |
| การปะปนของข้อมูลลับ | gitleaks 8.24.2 | 0 / 0 / 0 | รายการที่ตรวจพบ 2 รายการเป็นผลบวกลวงทั้งหมด (เช่น สตริงตัวอย่างในไลบรารีภายนอก) |
| การยืนยันการแก้ไข | ทดสอบการทำงานในสภาพแวดล้อมทดสอบ (PHP 8.3, MariaDB 10.11, Apache 2.4, Chromium) | — | ยืนยันแล้วว่าปัญหาก่อนการแก้ไขไม่เกิดซ้ำในทุกรายการที่พบ |
| การสแกนแบบไดนามิก | Nuclei v3.11.1 (เทมเพลต v10.5.0) ดำเนินการในสถานะยังไม่ได้เข้าสู่ระบบ ผู้ดูแลระบบ และสมาชิก | 0 / 0 / 0 | ไม่พบปัญหา |
| การตรวจสอบสิทธิ์ | PHPUnit 12.5 (การทดสอบอัตโนมัติ 256 รายการ ยืนยันว่าผู้ดูแลระบบ สมาชิก ผู้เยี่ยมชม และผู้ที่ยังไม่ได้เข้าสู่ระบบ ไม่สามารถเข้าถึงข้อมูลของโปรเจกต์ที่ตนไม่ได้เข้าร่วมหรือหน้าจอผู้ดูแลระบบได้ แม้จะแก้ไข ID ใน URL) | 0 / 0 / 1 | แก้ไขแล้วใน v1.10.0: ปัญหา (ต่ำ) ที่เมื่อเปิดหน้าจอผู้ดูแลระบบบางหน้าโดยไม่ได้เข้าสู่ระบบ จะทำให้รู้ได้ว่ามีหน้าจอนั้นอยู่ |
| การตรวจสอบตามโครงสร้างเซิร์ฟเวอร์ | ด้วยตนเอง (การวางโฟลเดอร์สาธารณะ 2 รูปแบบบน Apache 2.4 และ Nginx 1.24, 28 URL เช่น ไฟล์การตั้งค่า ล็อก และไฟล์ที่จัดเก็บ) | — | Apache ไม่มีปัญหาด้วยการตั้งค่ามาตรฐาน Nginx ไม่มีปัญหาเมื่อเพิ่มการตั้งค่าที่แนะนำ (หากไม่เพิ่ม ไฟล์ที่ไม่เปิดเผยต่อสาธารณะจะถูกมองเห็นได้ โปรดตรวจสอบการตั้งค่าที่แนะนำ) |
| รายการตรวจสอบ | OWASP ASVS 5.0 ระดับ 1 (70 รายการ) | ผ่าน 50 จาก 56 รายการที่เกี่ยวข้อง | ไม่เกี่ยวข้อง 14 รายการ (เช่น ฟีเจอร์ที่ไม่ได้ใช้) ส่วน 6 รายการที่ยังไม่ผ่าน (เช่น เงื่อนไขของรหัสผ่าน) ได้ป้องกันด้วยวิธีอื่นแยกต่างหาก |