Requêtes GitHub Actions pour l’analyse CodeQL

Découvrez les requêtes que CodeQL utilise pour analyser le code écrit dans des fichiers de flux de travail GitHub Actions, lorsque vous sélectionnez la suite de requêtes default ou security-extended.

Qui peut utiliser cette fonctionnalité ?

CodeQL est disponible pour les types de référentiels suivants :

CodeQL inclut de nombreuses requêtes pour l’analyse des flux de GitHub Actions travail. Toutes les requêtes de la suite de requêtes default sont exécutées par défaut. Si vous choisissez d’utiliser la suite de requêtes security-extended, des requêtes supplémentaires sont exécutées. Pour plus d’informations, consultez « Suites de requêtes CodeQL ».

Requêtes intégrées pour GitHub Actions l’analyse

Ce tableau répertorie les requêtes disponibles avec la dernière version de l’action CodeQL et CodeQL CLI. Pour plus d’informations, consultez les CodeQL journaux des modifications dans le CodeQL site de documentation.

Nom de la requêteCWE associésDefaultÉtendueCopilot Autofix
Empoisonnement d'artefacts829
Empoisonnement du cache via la mise en cache de fichiers non fiables3:49
Empoisonnement du cache via l’injection de code349, 094
Empoisonnement du cache via l'exécution de code non fiable3:49
Extraction de code non fiable dans un contexte privilégié829
Extraction de code non fiable dans un contexte privilégié829
Injection de code094, 095, 116
Variable d'environnement construite à partir de sources contrôlées par l'utilisateur077, 020
Exposition excessive de secrets312
Contrôle d'accès inadéquat285
Variable d'environnement PATH construite à partir de sources contrôlées par l'utilisateur077, 020
Stockage d'informations sensibles dans un artefact GitHub Actions312
Exposition de secrets non masqués312
Extraction non fiable TOCTOU367
Extraction non fiable TOCTOU367
Utilisation d'une action dont la vulnérabilité est connue1395
Le workflow ne contient pas d'autorisations275
Empoisonnement d'artefacts829
Extraction du code non approuvé dans un contexte non privilégié829
Injection de code094, 095, 116
Variable d'environnement construite à partir de sources contrôlées par l'utilisateur077, 020
Variable d'environnement PATH construite à partir de sources contrôlées par l'utilisateur077, 020
Étiquette non épinglée pour une Action non immuable dans un flux de travail ou une action composite829