GitHub Actions queries for CodeQL analysis

Explore the queries that CodeQL uses to analyze workflows used by GitHub Actions when you select the default or the security-extended query suite.

Qui peut utiliser cette fonctionnalité ?

CodeQL est disponible pour les types de référentiels suivants :

CodeQL includes many queries for analyzing workflows used by GitHub Actions. Toutes les requêtes de la suite de requêtes default sont exécutées par défaut. Si vous choisissez d’utiliser la suite de requêtes security-extended, des requêtes supplémentaires sont exécutées. Pour plus d’informations, consultez « Suites de requêtes CodeQL ».

Built-in queries for workflow analysis

Ce tableau répertorie les requêtes disponibles avec la dernière version de l’action CodeQL et CodeQL CLI. Pour plus d’informations, consultez les journaux des modifications CodeQL dans le site de documentation de CodeQL.

Remarque

La version initiale de GitHub Enterprise Server 3.16 incluait l’action CodeQL et CodeQL CLI 2.20.3, qui peuvent ne pas inclure toutes ces requêtes. Votre administrateur de site peut mettre à jour votre version CodeQL vers une version plus récente. Pour plus d’informations, consultez « Configuration de l’analyse de code pour votre appliance ».

Query nameRelated CWEsDefaultExtendedCopilot Autofix
Artifact poisoning829
Cache Poisoning via caching of untrusted files349
Cache Poisoning via execution of untrusted code349
Cache Poisoning via low-privileged code injection349, 094
Checkout of untrusted code in a privileged context829
Checkout of untrusted code in trusted context829
Code injection094, 095, 116
Environment variable built from user-controlled sources077, 020
Excessive Secrets Exposure312
Improper Access Control285
PATH environment variable built from user-controlled sources077, 020
Storage of sensitive information in GitHub Actions artifact312
Unmasked Secret Exposure312
Untrusted Checkout TOCTOU367
Untrusted Checkout TOCTOU367
Use of a known vulnerable action1395
Workflow does not contain permissions275
Artifact poisoning829
Checkout of untrusted code in trusted context829
Code injection094, 095, 116
Environment variable built from user-controlled sources077, 020
PATH environment variable built from user-controlled sources077, 020
Unpinned tag for a non-immutable Action in workflow829