Skip to main content

Go-Abfragen für die CodeQL-Analyse

Erkunden Sie die Abfragen, die CodeQL zum Analysieren von Code verwendet, der in Go (Golang) geschrieben wurde, wenn Sie die Abfragesammlung default oder security-extended auswählen.

Wer kann dieses Feature verwenden?

Code scanning ist für alle öffentlichen Repositorys auf GitHub.com verfügbar. Zur Verwendung von code scanning in einem privaten organisationseigenen Repository musst du über eine Lizenz für GitHub Advanced Security verfügen. Weitere Informationen findest du unter Informationen zu GitHub Advanced Security.

CodeQL enthält viele Abfragen zum Analysieren von Go-Code. Alle Abfragen in der default Abfragesammlung werden standardmäßig ausgeführt. Wenn Sie sich für die Verwendung der security-extended Abfragesammlung entscheiden, werden zusätzliche Abfragen ausgeführt. Weitere Informationen findest du unter CodeQL-Abfragesammlungen.

Integrierte Abfragen für die Go-Analyse

In dieser Tabelle sind die Abfragen aufgeführt, die mit der neuesten Version der Aktion CodeQL und CodeQL CLI verfügbar sind. Weitere Informationen finden Sie unter CodeQL-Änderungsprotokollen auf der Dokumentationsseite zu CodeQL.

Hinweis: Die automatische Korrektur von GitHub für code scanning befindet sich in der Betaversion. Funktionalität und Dokumentation können Änderungen unterliegen. In dieser Phase ist das Feature auf die von CodeQL erkannten JavaScript-, TypeScript-, Python und Java-Warnungen beschränkt. Wenn Sie ein Unternehmenskonto haben und GitHub Advanced Security verwenden, hat Ihr Unternehmen Zugang zur Beta-Version.

AbfragenameVerwandte CWEsStandardErweitertAutofix
Beliebiger Dateizugriff während der Archivextraktion („Zip Slip“)022
Beliebiger Dateischreibvorgang zum Extrahieren eines Archivs mit symbolischen Verknüpfungen022
Ungültige Umleitungsprüfung601
Protokollierung von Klartext vertraulicher Informationen312, 315, 359
Aus benutzerdefinierten Quellen erstellter Befehl078
Datenbankabfrage, die aus benutzerdefinierten Quellen erstellt wurde089
Deaktivierte TLS-Zertifikatsüberprüfung295
Einspeisung von E-Mail-Inhalten640
Unvollständiger regulärer Ausdruck für Hostnamen20
Unvollständige URL-Schemaüberprüfung020
Falsche Konvertierung zwischen ganzzahligen Typen190, 681
Gefährdung von Informationen über eine Stapelüberwachung209, 497
Unsichere TLS-Konfiguration327
Fehlende JWT-Signaturprüfung347
Fehlender Anchor des regulären Ausdrucks20
Öffnen der Umleitungs-URL601
Potenziell unsichere Quoten078, 089, 094
Reflektiertes Cross-Site Scripting079, 116
Die Größenberechnung für die Zuweisung kann überlaufen190
Slice-Speicherzuordnung mit übermäßigem Größenwert770
Verdächtige Zeichen in einem regulären Ausdruck20
Nicht kontrollierte Daten, die in der Netzwerkanforderung verwendet werden918
Nicht kontrollierte Daten, die im Pfadausdruck verwendet werden022, 023, 036, 073, 099
Verwendung eines schwachen Kryptografieschlüssels326
Verwenden des konstanten state-Werts in der OAuth 2.0-URL352
Verwendung der unsicheren HostKeyCallback-Implementierung322
Verwendung unzureichender Zufallszahlen als Schlüssel eines Kryptografiealgorithmus338
XPath-Einspeisung643
Hartcodierte Anmeldedaten259, 321, 798
Protokolleinträge, die anhand der Benutzereingabe erstellt wurden117