GitHub Actions queries for CodeQL analysis

Explore the queries that CodeQL uses to analyze workflows used by GitHub Actions when you select the default or the security-extended query suite.

Кто может использовать эту функцию?

CodeQL доступен для следующих типов репозитория:

CodeQL includes many queries for analyzing workflows used by GitHub Actions. Все запросы в наборе default запросов выполняются по умолчанию. Если вы решили использовать security-extended набор запросов, выполняются дополнительные запросы. Дополнительные сведения см. в разделе Наборы запросов CodeQL.

Built-in queries for workflow analysis

В этой таблице перечислены запросы, доступные в последнем выпуске действия CodeQL и CodeQL CLI. Дополнительные сведения см. в разделе CodeQL журналов изменений на сайте документации CodeQL документации.

Примечание.

Первоначальный выпуск GitHub Enterprise Server 3.16 включал действие CodeQL и CodeQL CLI 2.20.3, которые могут не включать все эти запросы. Администратор сайта может обновить версию CodeQL до более новой версии. Дополнительные сведения см. в разделе Настройка сканирования кода для устройства.

Query nameRelated CWEsDefaultExtendedCopilot Autofix
Artifact poisoning829
Cache Poisoning via caching of untrusted files349
Cache Poisoning via execution of untrusted code349
Cache Poisoning via low-privileged code injection349, 094
Checkout of untrusted code in a privileged context829
Checkout of untrusted code in trusted context829
Code injection094, 095, 116
Environment variable built from user-controlled sources077, 020
Excessive Secrets Exposure312
Improper Access Control285
PATH environment variable built from user-controlled sources077, 020
Storage of sensitive information in GitHub Actions artifact312
Unmasked Secret Exposure312
Untrusted Checkout TOCTOU367
Untrusted Checkout TOCTOU367
Use of a known vulnerable action1395
Workflow does not contain permissions275
Artifact poisoning829
Checkout of untrusted code in trusted context829
Code injection094, 095, 116
Environment variable built from user-controlled sources077, 020
PATH environment variable built from user-controlled sources077, 020
Unpinned tag for a non-immutable Action in workflow829