Consultas do GitHub Actions para a análise do CodeQL

Explore as consultas que CodeQL usa para analisar o código escrito em arquivos de fluxo de trabalho GitHub Actions ao selecionar o conjunto de consultas default ou o conjunto de consultas security-extended.

Quem pode usar esse recurso?

O CodeQL está disponível para os seguintes tipos de repositórios:

CodeQL inclui muitas consultas para analisar GitHub Actions fluxos de trabalho. Todas as consultas no conjunto de consultas default são executadas por padrão. Se você optar por usar o conjunto de consultas security-extended, consultas adicionais serão executadas. Para saber mais, confira Conjuntos de consultas CodeQL.

Consultas integradas para análise de GitHub Actions

Esta tabela lista as consultas disponíveis com a versão mais recente da ação CodeQL e CodeQL CLI. Para obter mais informações, consulte CodeQL os logs de alterações no site de CodeQL documentação.

Nome da consultaCWEs relacionadosPadrãoEstendidoCopilot Autofix
Envenenamento de artefato829
Envenenamento de cache por meio do armazenamento em cache de arquivos não confiáveis349
Envenenamento por cache por meio de injeção de código349, 094
Envenenamento de cache por meio da execução de código não confiável349
Check-out de código não confiável em um contexto com privilégios829
Check-out de código não confiável em um contexto com privilégios829
Injeção de código094, 095, 116
Variável de ambiente criada a partir de fontes controladas pelo usuário077, 020
Exposição excessiva de segredos312
Controle de acesso inadequado285
Variável de ambiente PATH criada a partir de fontes controladas pelo usuário077, 020
Armazenamento de informações confidenciais no artefato do GitHub Actions312
Exposição de segredo não mascarado312
TOCTOU de verificação não confiável367
TOCTOU de verificação não confiável367
Uso de uma ação vulnerável conhecida1,395
Fluxo de trabalho não contém permissões275
Envenenamento de artefato829
Verificação de código não confiável em um contexto sem privilégios829
Injeção de código094, 095, 116
Variável de ambiente criada a partir de fontes controladas pelo usuário077, 020
Variável de ambiente PATH criada a partir de fontes controladas pelo usuário077, 020
Marca desafixada para uma ação não imutável no fluxo de trabalho ou na ação composta829