Requêtes GitHub Actions pour l’analyse CodeQL

Explorez les requêtes utilisées par CodeQL pour analyser les flux de travail utilisés par GitHub Actions lorsque vous sélectionnez la suite de requêtes default ou security-extended.

Qui peut utiliser cette fonctionnalité ?

CodeQL est disponible pour les types de référentiels suivants :

CodeQL comprend de nombreuses requêtes pour analyser les flux de travail utilisés par GitHub Actions. Toutes les requêtes de la suite de requêtes default sont exécutées par défaut. Si vous choisissez d’utiliser la suite de requêtes security-extended, des requêtes supplémentaires sont exécutées. Pour plus d’informations, consultez « Suites de requêtes CodeQL ».

Requêtes intégrées pour l’analyse de flux de travail

Ce tableau répertorie les requêtes disponibles avec la dernière version de l’action CodeQL et CodeQL CLI. Pour plus d’informations, consultez les journaux des modifications CodeQL dans le site de documentation de CodeQL.

Nom de la requêteCWE connexesPar défautÉtenduCopilot Autofix
Empoisonnement des artefacts829
Empoisonnement du cache via la mise en cache de fichiers non approuvés349
Empoisonnement du cache via l’exécution de code non approuvé349
Empoisonnement du cache via l’injection de code à faible privilège349, 094
Basculement sur du code non approuvé dans un contexte privilégié829
Basculement sur du code non approuvé dans un contexte approuvé829
Injection de code094, 095, 116
Variable d’environnement créée à partir de sources contrôlées par l’utilisateur077, 020
Exposition excessive de secrets312
Contrôle d’accès incorrect285
Variable d’environnement PATH créée à partir de sources contrôlées par l’utilisateur077, 020
Stockage d’informations sensibles dans l’artefact GitHub Actions312
Exposition non masquée de secrets312
Basculement non fiable TOCTOU367
Basculement non fiable TOCTOU367
Utilisation d’une action vulnérable connue1,395
Le flux de travail ne contient pas d’autorisations275
Empoisonnement des artefacts829
Basculement sur du code non approuvé dans un contexte approuvé829
Injection de code094, 095, 116
Variable d’environnement créée à partir de sources contrôlées par l’utilisateur077, 020
Variable d’environnement PATH créée à partir de sources contrôlées par l’utilisateur077, 020
Balise non épinglée pour une action non immuable dans le flux de travail829