Bu sayfa, geliştiricinin kendi yaptığı testlerin kaydıdırBağımsız bir kuruluş tarafından verilmiş bir sertifika veya yapılmış bir denetim değildir. Neleri test ettiğimizi de birlikte yayımladığımız için, GeckoFlag'i kullanmaya karar verirken bu bilgilerden yararlanabilirsiniz.
v1.11.0'da “Yüksek” veya “Orta” önem derecesinde düzeltilmemiş sorun bulunmamaktadır (test tarihi: 2026-10-28).
Bu testte v1.10.0’dan bu yana yapılan değişiklikler (Claude entegrasyonu, zengin metinde yazı ve arka plan renkleri ile ayırıcılar vb.) incelendi; ayrıca önceki sürümlerden beri var olan sorunlar da düzeltildi. v1.10.0 veya daha eski bir sürüm kullanıyorsanız v1.11.0’a güncellemenizi öneririz.
| Test | Kullanılan araçlar (sürüm) | Bulgular (Yüksek / Orta / Düşük) | Yapılan işlem |
|---|---|---|---|
| Bağımlı kütüphaneler | GitHub Advisory Database, FriendsOfPHP security-advisories (2026-10-28 itibarıyla veriler; 89 paket) | 0 / 0 / 0 | Dağıtım dosyalarındaki kütüphanelerde bilinen bir güvenlik açığı yoktur. Yalnızca geliştirmede kullanılan kütüphanelerdeki bilinen açıklar v1.11.0’da güncellenerek giderildi (geliştirme kütüphaneleri dağıtım dosyalarına dahil edilmez) |
| Statik analiz ve kod incelemesi | Psalm 5.26.1 (taint analizi), PHPStan 2.1.17 (seviye 5), Semgrep 1.182.1, manuel kod incelemesi (v1.10.0’dan bu yana yapılan değişiklikler: Claude entegrasyonunun API’si ve token’ları, zengin metin, oturumun açık kalması, yazılım güncellemeleri; ayrıca tüm ekranlardaki bağlantı çıktısı) | 1 / 1 / 3 | “Yüksek” ve “Orta” bulgular ile 2 “Düşük” bulgu v1.11.0’da düzeltildi. Kalan 1 “Düşük” bulgu yalnızca kullanıcının kendi işlemleriyle ortaya çıkar ve etkisinin sınırlı olduğu doğrulandı. “Yüksek” bulgu önceki sürümlerde de mevcuttu |
| Gizli bilgi sızıntısı | gitleaks 8.24.2 | 0 / 0 / 0 | Hem kaynak kod hem de dağıtım dosyaları kontrol edildi. 2 tespitin ikisi de yanlış pozitifti (harici kütüphanelerdeki örnek dizeler vb.) |
| Düzeltmelerin doğrulanması | Test ortamında (PHP 8.3, MariaDB 10.11, Apache 2.4, Nginx 1.24, Chromium) çalışma kontrolü | — | Her bulgu için, düzeltme öncesindeki sorunun artık yeniden oluşmadığı doğrulandı |
| Dinamik tarama | Nuclei v3.11.1 (şablonlar v10.5.1); oturum açmadan, yönetici ve üye olarak yapıldı | 0 / 0 / 0 | Sorun yok |
| Yetki testleri | PHPUnit 12.5 (454 otomatik test. Önceki kontrollere ek olarak, Claude entegrasyonu API’sinin token olmadan, salt okunur token ile, izin verilmeyen kullanıcılardan ve özellik kapalıyken gelen istekleri reddettiği ve kullanıcının üyesi olmadığı projelere asla ulaşmadığı doğrulandı) | 0 / 0 / 0 | Sorun yok |
| Sunucu yapılandırmasına göre kontrol | Manuel (Apache 2.4 ve Nginx 1.24’te genel klasörün 2 farklı yerleşimi; yapılandırma dosyaları, günlükler, oturumlar, saklanan dosyalar vb. için 39 URL) | 0 / 0 / 1 | v1.11.0’da düzeltildi: eski sürümlerin dosya klasörüne (files) doğrudan erişim artık Apache’de de tamamen reddediliyor. Başka sorun yok |
| Kontrol listesi | OWASP ASVS 5.0 Seviye 1 (70 madde) | Kapsamdaki 56 maddeden 50'si karşılanıyor | Bu sefer gözden geçirilmedi (v1.10.0 sonucu geçerliliğini koruyor) |
| Claude entegrasyonu uzantısı | npm audit, gitleaks 8.24.2, mcpb validate, manuel kod incelemesi (geckoflag-1.0.0.mcpb) | 0 / 0 / 0 | Dağıtım dosyasındaki kütüphaneleri etkileyen bilinen bir güvenlik açığı yoktur. API token’ının nasıl işlendiği ve isteklerin gönderildiği yerlere ilişkin kısıtlamalar (yalnızca HTTPS, yönlendirmeler izlenmez) kontrol edildi |