JavaScript- und TypeScript-Abfragen für die CodeQL-Analyse

Abfragename	Verwandte CWEs	Standard	Erweitert	Copilot Autofix
Beliebiger Dateizugriff während der Archivextraktion („Zip Slip“)	022
Ungültige HTML-Filterung regexp	020, 080, 116, 184, 185, 186
Middleware-Pfad mit Unterscheidung nach Groß-/Kleinschreibung	178
Speicherung von Klartext vertraulicher Informationen	312, 315, 359
Übertragung von Klartext sensibler Cookies	614, 311, 312, 319
Protokollierung von Klartext vertraulicher Informationen	312, 359, 532
Clientseitiges Cross-Site Scripting	079, 116
Clientseitige URL-Umleitung	079, 116, 601
Codeeinschleusung	094, 095, 079, 116
CORS-Fehlkonfiguration für die Übertragung von Anmeldedaten	346, 639, 942
Erstellen von voreingenommenen Zufallszahlen aus einer kryptografisch sicheren Quelle	327
Fensterübergreifende Kommunikation mit uneingeschränktem Zielursprung	201, 359
Datenbankabfrage, die aus benutzerdefinierten Quellen erstellt wurde	089, 090, 943
Abhängigkeitsdownload mit unverschlüsseltem Kommunikationskanal	300, 319, 494, 829
Deserialisierung benutzergesteuerter Daten	502
Deaktivieren der SSL-Zertifikatüberprüfung	295, 297
Deaktivieren von Electron webSecurity	79
Deaktivieren von SCE	116
DOM-Text als HTML neu interpretiert	079, 116
Doppelte Kompilierung	1176
Doppeltes Escaping oder Unescaping	116, 020
Herunterladen vertraulicher Dateien über unsichere Verbindung	829
Aktivieren von Electron allowRunningInsecureContent	494
Ausnahmetext als HTML neu interpretiert	079, 116
Gefährdung privater Dateien	200, 219, 548
Einfügen von Ausdrücken in Aktionen	094
Hartcodierte Anmeldedaten	259, 321, 798
Hostheader-Vergiftung bei der E-Mail-Generierung	640
Unsachgemäße Codebereinigung	094, 079, 116
Einschluss von Funktionen aus einer nicht vertrauenswürdigen Quelle	830
Unvollständige Bereinigung von HTML-Attributen	079, 116, 020
Unvollständige Mehrzeichen-Bereinigung	020, 080, 116
Unvollständiger regulärer Ausdruck für Hostnamen	020
Unvollständiges Zeichenketten-Escaping oder -Codierung	020, 080, 116
Unvollständige URL-Schemaüberprüfung	020, 184
Unvollständige URL-Substring-Bereinigung	020
Falsche Suffix-Prüfung	020
Ineffizienter regulärer Ausdruck	1333, 730, 400
Gefährdung von Informationen über eine Stapelüberwachung	209, 497
Unsichere Konfiguration der Helmet-Sicherheitsmiddleware	693, 1021
Unsichere Zufallselemente	338
Unsichere URL-Whitelist	183, 625
JWT fehlende Überprüfung geheimer oder öffentlicher Schlüssel	347
Loop-gebundene Einspeisung	834, 730
Fehlende CSRF-Middleware	352
Fehlende Ratenbegrenzung	770, 307, 400
Übermäßig zulässiger regulärer Ausdrucksbereich	020
Polynomischer regulärer Ausdruck, der für unkontrollierte Daten verwendet wird	1333, 730, 400
Prototyp-belastende Aufgabe	078, 079, 094, 400, 471, 915
Prototyp-belastende Funktion	078, 079, 094, 400, 471, 915
Prototyp-belastende Verbindung von Anrufen	078, 079, 094, 400, 471, 915
Reflektiertes Cross-Site Scripting	079, 116
Einspeisung regulärer Ausdrücke	730, 400
Ersetzen eines Substrings durch sich selbst	116
Ressourcenerschöpfung	400, 770
Erschöpfung der Ressourcen durch tiefes Durchlaufen von Objekten	400
Einspeisen von Befehlen in zweiter Reihenfolge	078, 088
Vertrauliche Daten, die aus GET-Anforderung gelesen werden	598
Vertraulicher Server-Cookie, der für den Client verfügbar gemacht wird	1004
Serverabsturz	248, 730
Serverseitige Anforderungsfälschung	918
Serverseitige URL-Umleitung	601
Shell-Befehl, der aus Umgebungswerten erstellt wurde	078, 088
Speichern vertraulicher Informationen im Buildartefakt	312, 315, 359
Speichern vertraulicher Informationen im GitHub Actions-Artefakt	312, 315, 359
Gespeichertes Cross-Site-Scripting	079, 116
Einspeisung eines Vorlagenobjekts	073, 094
Typverwechslung durch Parametermanipulation	8:43
Nicht gesteuerte Befehlszeile	078, 088
Nicht kontrollierte Daten, die im Pfadausdruck verwendet werden	022, 023, 036, 073, 099
Unnötige Verwendung von cat Prozess	078
Unsicherer dynamischer Methodenzugriff	094
Unsichere Erweiterung des selbstschließenden HTML-Tags	079, 116
Unsicherer HTML-Code, der aus Bibliothekseingaben erstellt wurde	079, 116
Unsicheres jQuery-Plug-In	079, 116
Unsicherer Shell-Befehl, der aus Bibliothekseingaben erstellt wurde	078, 088
Nicht vertrauenswürdige Domäne, die in einem Skript oder anderen Inhalten verwendet wird	830
Nicht validierter dynamischer Methodenaufruf	754
Verwendung eines fehlerhaften oder schwachen Kryptografiealgorithmus	327, 328
Verwendung eines schwachen Kryptografieschlüssels	326
Verwenden einer extern gesteuerten Formatzeichenkette	134
Verwendung des Passwort-Hashs mit unzureichendem Berechnungsaufwand	916
Nutzloses Escape-Zeichen mit regulärem Ausdruck	020
Erweiterung der externen XML-Entität	611, 827
Erweiterung der internen XML-Entität	776, 400
XPath-Einspeisung	643
Clientseitige Anforderungsfälschung	918
Leeres Passwort in Konfigurationsdatei	258, 862
Fehler beim Abbrechen der Sitzung	384
Dateidaten in ausgehender Netzwerkanforderung	200
Hartcodierte Daten, die als Code interpretiert werden	506
Indirekte unkontrollierte Befehlszeile	078, 088
Unsichere temporäre Datei	377, 378
Protokolleinspeisung	117
Fehlende Ursprungsüberprüfung im postMessage Handler	020, 940
Fehlender Anchor des regulären Ausdrucks	020
In Datei geschriebene Netzwerkdaten	912, 434
Passwort in Konfigurationsdatei	256, 260, 313, 522
Mögliche Dateisystem-Racebedingung	367
Einspeisung einer Remote-Eigenschaft	250, 400
Vertrauliches Cookie ohne SameSite-Einschränkungen	1275
Unsicherer Code, der aus Bibliothekseingaben erstellt wurde	094, 079, 116
Benutzergesteuerte Überbrückung der Sicherheitsprüfung	807, 290