RequĂȘtes Actions pour l’analyse CodeQL

Explorez les requĂȘtes utilisĂ©es par CodeQL pour analyser le code Ă©crit dans les fichiers de flux de travail GitHub Actions lorsque vous sĂ©lectionnez la suite de requĂȘtes default ou security-extended.

Qui peut utiliser cette fonctionnalité ?

CodeQL est disponible pour les types de rĂ©fĂ©rentiels suivants :

CodeQL comprend de nombreuses requĂȘtes pour analyser les flux de travail GitHub Actions. Toutes les requĂȘtes de la suite de requĂȘtes default sont exĂ©cutĂ©es par dĂ©faut. Si vous choisissez d’utiliser la suite de requĂȘtes security-extended, des requĂȘtes supplĂ©mentaires sont exĂ©cutĂ©es. Pour plus d’informations, consultez « Suites de requĂȘtes CodeQL Â».

RequĂȘtes intĂ©grĂ©es pour l’analyse GitHub Actions

Ce tableau rĂ©pertorie les requĂȘtes disponibles avec la derniĂšre version de l’action CodeQL et CodeQL CLI. Pour plus d’informations, consultez les journaux des modifications CodeQL dans le site de documentation de CodeQL.

Nom de la requĂȘteCWE connexesPar dĂ©fautÉtenduCorrectif automatique Copilot
Empoisonnement des artefacts829
Empoisonnement du cache via la mise en cache de fichiers non approuvés349
Empoisonnement du cache via l’exĂ©cution de code non approuvĂ©349
Empoisonnement du cache via l’injection de code à faible privilùge349, 094
Basculement sur du code non approuvé dans un contexte privilégié829
Basculement sur du code non approuvé dans un contexte approuvé829
Injection de code094, 095, 116
Variable d’environnement crĂ©Ă©e Ă  partir de sources contrĂŽlĂ©es par l’utilisateur077, 020
Exposition excessive de secrets312
Contrîle d’accùs incorrect285
Variable d’environnement PATH crĂ©Ă©e Ă  partir de sources contrĂŽlĂ©es par l’utilisateur077, 020
Stockage d’informations sensibles dans l’artefact GitHub Actions312
Exposition non masquée de secrets312
Basculement non fiable TOCTOU367
Basculement non fiable TOCTOU367
Utilisation d’une action vulnĂ©rable connue1,395
Le flux de travail ne contient pas d’autorisations275
Empoisonnement des artefacts829
Basculement sur du code non approuvé dans un contexte approuvé829
Injection de code094, 095, 116
Variable d’environnement crĂ©Ă©e Ă  partir de sources contrĂŽlĂ©es par l’utilisateur077, 020
Variable d’environnement PATH crĂ©Ă©e Ă  partir de sources contrĂŽlĂ©es par l’utilisateur077, 020
Balise non épinglée pour une action non immuable dans le flux de travail829