หน้านี้เป็นบันทึกการตรวจสอบด้วยตนเองของนักพัฒนา ไม่ใช่การรับรองหรือการตรวจประเมินโดยหน่วยงานภายนอก นอกจากนี้เรายังเปิดเผยด้วยว่าตรวจสอบอะไรบ้าง โปรดใช้เป็นข้อมูลประกอบการตัดสินใจนำไปใช้งาน
v1.11.0 ไม่มีปัญหาที่ยังไม่ได้แก้ไขซึ่งมีความรุนแรงระดับ “สูง” หรือ “ปานกลาง” (วันที่ตรวจสอบ: 2026-10-28)
รอบนี้ตรวจสอบการเปลี่ยนแปลงตั้งแต่ v1.10.0 (การเชื่อมต่อ Claude สีตัวอักษร สีพื้นหลัง และเส้นคั่นในข้อความแบบมีรูปแบบ เป็นต้น) และแก้ไขปัญหาที่มีอยู่ตั้งแต่เวอร์ชันก่อนหน้าไปพร้อมกัน หากคุณใช้ v1.10.0 หรือเก่ากว่า ขอแนะนำให้อัปเดตเป็น v1.11.0
| การตรวจสอบ | เครื่องมือที่ใช้ (เวอร์ชัน) | ที่ตรวจพบ (สูง / ปานกลาง / ต่ำ) | การดำเนินการ |
|---|---|---|---|
| ไลบรารีที่ใช้ (Dependencies) | GitHub Advisory Database, FriendsOfPHP security-advisories (ข้อมูล ณ วันที่ 2026-10-28, 89 แพ็กเกจ) | 0 / 0 / 0 | ไม่พบช่องโหว่ที่ทราบในไลบรารีที่รวมอยู่ในไฟล์สำหรับแจกจ่าย ช่องโหว่ที่ทราบในไลบรารีสำหรับการพัฒนาได้รับการแก้ไขด้วยการอัปเดตใน v1.11.0 (ไลบรารีสำหรับการพัฒนาไม่รวมอยู่ในไฟล์สำหรับแจกจ่าย) |
| การวิเคราะห์แบบสถิตและ Code Review | Psalm 5.26.1 (การวิเคราะห์ taint), PHPStan 2.1.17 (ระดับ 5), Semgrep 1.182.1, Code Review ด้วยตนเอง (ส่วนที่เปลี่ยนแปลงตั้งแต่ v1.10.0: API และโทเค็นของการเชื่อมต่อ Claude ข้อความแบบมีรูปแบบ การคงสถานะเข้าสู่ระบบ การอัปเดตซอฟต์แวร์ รวมถึงการแสดงลิงก์ในทุกหน้าจอ) | 1 / 1 / 3 | แก้ไขปัญหาระดับ “สูง” “ปานกลาง” และระดับ “ต่ำ” 2 รายการแล้วใน v1.11.0 ส่วนปัญหาระดับ “ต่ำ” อีก 1 รายการเกิดขึ้นได้จากการกระทำของผู้ใช้เองเท่านั้น และยืนยันแล้วว่ามีผลกระทบจำกัด ปัญหาระดับ “สูง” มีอยู่ตั้งแต่เวอร์ชันก่อนหน้า |
| การปะปนของข้อมูลลับ | gitleaks 8.24.2 | 0 / 0 / 0 | ตรวจสอบทั้งซอร์สโค้ดและไฟล์สำหรับแจกจ่าย การตรวจพบ 2 รายการเป็นผลบวกลวงทั้งหมด (เช่น สตริงตัวอย่างในไลบรารีภายนอก) |
| การยืนยันการแก้ไข | ทดสอบการทำงานในสภาพแวดล้อมทดสอบ (PHP 8.3, MariaDB 10.11, Apache 2.4, Nginx 1.24, Chromium) | — | ยืนยันแล้วว่าปัญหาก่อนการแก้ไขไม่เกิดซ้ำในทุกรายการที่พบ |
| การสแกนแบบไดนามิก | Nuclei v3.11.1 (เทมเพลต v10.5.1) ดำเนินการในสถานะยังไม่ได้เข้าสู่ระบบ ผู้ดูแลระบบ และสมาชิก | 0 / 0 / 0 | ไม่พบปัญหา |
| การตรวจสอบสิทธิ์ | PHPUnit 12.5 (การทดสอบอัตโนมัติ 454 รายการ นอกจากเนื้อหาเดิม ยังยืนยันว่า API ของการเชื่อมต่อ Claude ปฏิเสธคำขอที่ไม่มีโทเค็น ใช้โทเค็นแบบอ่านอย่างเดียว มาจากผู้ใช้ที่ไม่ได้รับอนุญาต หรือเมื่อปิดฟีเจอร์ และไม่สามารถเข้าถึงโปรเจกต์ที่ผู้ใช้ไม่ได้เข้าร่วม) | 0 / 0 / 0 | ไม่พบปัญหา |
| การตรวจสอบตามโครงสร้างเซิร์ฟเวอร์ | ด้วยตนเอง (การวางโฟลเดอร์สาธารณะ 2 รูปแบบบน Apache 2.4 และ Nginx 1.24, 39 URL เช่น ไฟล์การตั้งค่า ล็อก เซสชัน และไฟล์ที่จัดเก็บ) | 0 / 0 / 1 | แก้ไขใน v1.11.0: การเข้าถึงโฟลเดอร์ไฟล์ของเวอร์ชันเก่า (files) โดยตรงจะถูกปฏิเสธทั้งหมดบน Apache ด้วย ไม่มีปัญหาอื่น |
| รายการตรวจสอบ | OWASP ASVS 5.0 ระดับ 1 (70 รายการ) | ผ่าน 50 จาก 56 รายการที่เกี่ยวข้อง | รอบนี้ไม่ได้ทบทวนใหม่ (ใช้ผลของ v1.10.0 ต่อ) |
| ส่วนขยายสำหรับการเชื่อมต่อ Claude | npm audit, gitleaks 8.24.2, mcpb validate, Code Review ด้วยตนเอง (geckoflag-1.0.0.mcpb) | 0 / 0 / 0 | ไม่พบช่องโหว่ที่ทราบซึ่งส่งผลต่อไลบรารีในไฟล์สำหรับแจกจ่าย ตรวจสอบการจัดการโทเค็น API และข้อจำกัดของปลายทางการส่งคำขอ (HTTPS เท่านั้น และไม่ติดตามการเปลี่ยนเส้นทาง) |