C#-Abfragen für die CodeQL-Analyse

Erkunden Sie die Abfragen, die CodeQL zum Analysieren von Code verwendet, der in C# geschrieben wurde, wenn Sie die Abfragesammlung default oder security-extended auswählen.

Wer kann dieses Feature verwenden?

CodeQL ist für die folgenden Repositorytypen verfügbar:

CodeQL enthält viele Abfragen zum Analysieren von C#-Code. Alle Abfragen in der default Abfragesammlung werden standardmäßig ausgeführt. Wenn Sie sich für die Verwendung der security-extended Abfragesammlung entscheiden, werden zusätzliche Abfragen ausgeführt. Weitere Informationen finden Sie unter CodeQL-Abfragesammlungen.

Integrierte Abfragen für die C#-Analyse

Diese Tabelle listet die Abfragen auf, die mit der neuesten Version der Aktion CodeQL und CodeQL CLI verfügbar sind. Weitere Informationen finden Sie in CodeQL den Änderungsprotokollen auf der Dokumentationswebsite CodeQL .

Hinweis

Die erste Veröffentlichung von GitHub Enterprise Server3.20 umfasste die CodeQL Aktion und CodeQL CLI2.23.9, die möglicherweise nicht alle diese Abfragen enthalten. Ihr Websiteadministrator kann Ihre CodeQL Version auf eine neuere Version aktualisieren. Weitere Informationen finden Sie unter Konfigurieren der Code-Analyse für Ihr Gerät.

AbfragenameVerwandte CWEsStandardErweitertCopilot Autofix
Das Attribut „requireSSL“ ist nicht auf „true“ festgelegt319, 614
Beliebiger Dateizugriff während der Archivextraktion („Zip Slip“)022
ASP.NET Konfigurationsdatei aktiviert die Verzeichnissuche548
Einspeisung des Assembly-Pfads114
Speicherung von Klartext vertraulicher Informationen312, 315, 359
Das Cookie "HttpOnly"-Attribut ist nicht auf "true" festgelegt.1004
Das Cookie-Attribut "Secure" ist nicht auf "true" festgelegt.319, 614
Cookie-Sicherheit: übermäßig weite Domäne287
Cookie-Sicherheit: übermäßig weiter Pfad287
Cookie-Sicherheit: beständiges Cookie539
Beim Erstellen einer ASP.NET Debug-Binärdatei werden möglicherweise vertrauliche Informationen angezeigt011, 532
Cross-Site Scripting079, 116
Denial of Service vom Vergleich der Benutzereingabe gegen teure regex1333, 730, 400
Deserialisierung von nicht vertrauenswürdigen Daten502
Deserialisierte Stellvertretung502
Verschlüsselung mit ECB327
Gefährdung privater Informationen359
Fehler beim Abbrechen der Sitzung384
Header-Überprüfung deaktiviert113
Falsche Kontrolle über die Generierung von Code094, 095, 096
Gefährdung von Informationen über eine Ausnahme209, 497
Gefährdung von Informationen durch übertragene Daten201
Unsichere Zufallselemente338
LDAP-Abfrage, die aus benutzerdefinierten Quellen erstellt wurde090
Protokolleinträge, die anhand der Benutzereingabe erstellt wurden117
Fehlende Tokenüberprüfung der siteübergreifende Anforderungsfälschung352
Fehlender globaler Fehler-Handler012, 248
Fehlender HTTP-Header für X-Frame-Options451, 829
Die Überprüfung der Seitenanforderung ist deaktiviert.016
Einspeisung regulärer Ausdrücke730, 400
Ressourceneinspeisung099
SQL-Abfrage, die aus benutzerdefinierten Quellen erstellt wurde089
Nicht gesteuerte Befehlszeile078, 088
Nicht kontrollierte Daten, die im Pfadausdruck verwendet werden022, 023, 036, 073, 099
Unkontrollierte Formatzeichenkette134
Nicht vertrauenswürdiger XML-Code wird unsicher gelesen.611, 827, 776
Nichtvalidierte lokale Zeiger-Arithmetik119, 120, 122, 788
URL-Umleitung von Remote-Quelle601
Benutzergesteuerte Überbrückung vertraulicher Methoden807, 247, 350
Unsichere Verschlüsselung327
Schwache Verschlüsselung: unzureichende RSA-Auffüllung327, 780
Schwache Verschlüsselung: Unzureichende Schlüsselgröße326
Einspeisung von XML-Befehlen091
XPath-Einspeisung643
Leeres Passwort in Konfigurationsdatei258.862
Unsichere Referenz zu Direct-Objekten639
Unsichere SQL-Verbindung327
Fehlende Zugriffssteuerung auf Funktionsebene285, 284, 862
Fehlende XML-Validierung112
Überbrückung der Serialisierungsprüfung020
Thread-unsicheres Erfassen eines ICryptoTransform-Objekts362
Thread-unsichere Verwendung eines statischen ICryptoTransform-Felds362
Verwendung von Dateiuploads434
Wertschattierung348
Wertschattierung: Servervariable348