Trang này là hồ sơ tự kiểm tra của nhà phát triểnĐây không phải là chứng nhận hay kiểm toán của tổ chức bên thứ ba. Chúng tôi cũng công bố cả những gì được kiểm tra, vì vậy bạn có thể dùng thông tin này làm căn cứ khi cân nhắc triển khai.
Trong v1.11.0, không còn vấn đề chưa được sửa nào có mức độ nghiêm trọng “Cao” hoặc “Trung bình” (ngày kiểm tra: 2026-10-28).
Lần kiểm tra này nhắm vào các thay đổi kể từ v1.10.0 (tích hợp Claude, màu chữ, màu nền và đường phân cách trong văn bản định dạng, v.v.), đồng thời sửa các vấn đề đã tồn tại từ các phiên bản trước. Nếu bạn đang dùng v1.10.0 trở về trước, chúng tôi khuyến nghị cập nhật lên v1.11.0.
| Kiểm tra | Công cụ (phiên bản) | Phát hiện (Cao / Trung bình / Thấp) | Xử lý |
|---|---|---|---|
| Thư viện phụ thuộc | GitHub Advisory Database, FriendsOfPHP security-advisories (dữ liệu tính đến 2026-10-28; 89 gói) | 0 / 0 / 0 | Không có lỗ hổng đã biết trong các thư viện có trong tệp phân phối. Các lỗ hổng đã biết của thư viện dành cho phát triển đã được khắc phục bằng cách cập nhật trong v1.11.0 (thư viện dành cho phát triển không có trong tệp phân phối) |
| Phân tích tĩnh / rà soát mã | Psalm 5.26.1 (phân tích taint), PHPStan 2.1.17 (mức 5), Semgrep 1.182.1, rà soát mã thủ công (các thay đổi kể từ v1.10.0: API và token của tích hợp Claude, văn bản định dạng, duy trì đăng nhập, cập nhật phần mềm; cùng với cách xuất liên kết trên mọi màn hình) | 1 / 1 / 3 | Các vấn đề “Cao”, “Trung bình” và 2 vấn đề “Thấp” đã được sửa trong v1.11.0. Vấn đề “Thấp” còn lại chỉ xảy ra do thao tác của chính người dùng và đã xác nhận mức ảnh hưởng hạn chế. Vấn đề “Cao” đã tồn tại từ các phiên bản trước |
| Lọt thông tin bí mật | gitleaks 8.24.2 | 0 / 0 / 0 | Đã kiểm tra cả mã nguồn và tệp phân phối. Cả 2 phát hiện đều là cảnh báo nhầm (chuỗi mẫu trong thư viện bên ngoài, v.v.) |
| Xác nhận bản sửa | Kiểm tra hoạt động trên môi trường thử nghiệm (PHP 8.3, MariaDB 10.11, Apache 2.4, Nginx 1.24, Chromium) | — | Với từng phát hiện, đã xác nhận vấn đề trước khi sửa không còn tái hiện |
| Quét động | Nuclei v3.11.1 (mẫu v10.5.1), thực hiện khi chưa đăng nhập và với tư cách quản trị viên, thành viên | 0 / 0 / 0 | Không có vấn đề |
| Kiểm tra quyền | PHPUnit 12.5 (454 bài kiểm thử tự động. Ngoài các nội dung trước, xác nhận rằng API tích hợp Claude từ chối yêu cầu không có token, dùng token chỉ đọc, từ người dùng không được phép và khi tính năng bị tắt, đồng thời không bao giờ truy cập được dự án mà người dùng không tham gia) | 0 / 0 / 0 | Không có vấn đề |
| Kiểm tra theo cấu hình máy chủ | Thủ công (Apache 2.4, Nginx 1.24 với 2 cách bố trí thư mục công khai; 39 URL như tệp cấu hình, nhật ký, phiên, tệp đã lưu) | 0 / 0 / 1 | Đã sửa trong v1.11.0: truy cập trực tiếp vào thư mục tệp của phiên bản cũ (files) nay cũng bị từ chối hoàn toàn trên Apache. Không có vấn đề khác |
| Danh sách kiểm tra | OWASP ASVS 5.0 cấp 1 (70 mục) | Đáp ứng 50 trên 56 mục áp dụng | Lần này không rà soát lại (giữ nguyên kết quả của v1.10.0) |
| Tiện ích mở rộng tích hợp Claude | npm audit, gitleaks 8.24.2, mcpb validate, rà soát mã thủ công (geckoflag-1.0.0.mcpb) | 0 / 0 / 0 | Không có lỗ hổng đã biết ảnh hưởng đến các thư viện trong tệp phân phối. Đã kiểm tra cách xử lý token API và giới hạn nơi gửi yêu cầu (chỉ HTTPS, không đi theo chuyển hướng) |