Consultas do Actions para análise CodeQL

Explore as consultas que o CodeQL usa para analisar o código escrito em arquivos de fluxo de trabalho do GitHub Actions ao selecionar o conjunto de consultas default ou security-extended.

Quem pode usar esse recurso?

O CodeQL está disponível para os seguintes tipos de repositórios:

O CodeQL inclui muitas consultas para analisar os fluxos de trabalho do GitHub Actions. Todas as consultas no conjunto de consultas default são executadas por padrão. Se você optar por usar o conjunto de consultas security-extended, consultas adicionais serão executadas. Para saber mais, confira Conjuntos de consultas CodeQL.

Consultas internas para análise do GitHub Actions

Esta tabela lista as consultas disponíveis com a versão mais recente da ação CodeQL e CodeQL CLI. Para obter mais informações, consulte Logs de alterações do CodeQL no site de documentação do CodeQL .

Nome da consultaCWEs relacionadosPadrãoEstendidoCopilot Autofix
Envenenamento de artefato829
Envenenamento de cache por meio do armazenamento em cache de arquivos não confiáveis349
Envenenamento de cache por meio da execução de código não confiável349
Envenenamento de cache por meio de injeção de código com poucos privilégios349, 094
Check-out de código não confiável em um contexto com privilégios829
Check-out de código não confiável em um contexto confiável829
Injeção de código094, 095, 116
Variável de ambiente criada a partir de fontes controladas pelo usuário077, 020
Exposição excessiva de segredos312
Controle de acesso inadequado285
Variável de ambiente PATH criada a partir de fontes controladas pelo usuário077, 020
Armazenamento de informações confidenciais no artefato do GitHub Actions312
Exposição de segredo não mascarado312
TOCTOU de check-out não confiável367
TOCTOU de check-out não confiável367
Uso de uma ação vulnerável conhecida1,395
Fluxo de trabalho não contém permissões275
Envenenamento de artefato829
Check-out de código não confiável em um contexto confiável829
Injeção de código094, 095, 116
Variável de ambiente criada a partir de fontes controladas pelo usuário077, 020
Variável de ambiente PATH criada a partir de fontes controladas pelo usuário077, 020
Marca desafixada para uma ação não imutável no fluxo de trabalho829