用于 CodeQL 分析的 Java 和 Kotlin 查询

查询名称	相关的 CWE	默认	延期	Copilot Autofix
TrustManager 接受所有证书	295
Android WebView 接受所有证书	295
启用了 Android 可调试属性	489
Android 片段注入	470
PreferenceActivity 内的 Android 片段注入	470
Android 意图重定向	926、940
启用了 Android Web 视图调试	489
存档提取期间的任意文件访问权限（“Zip Slip”）	022
使用字符串串联来生成命令行	078、088
Cookie 中敏感信息的明文存储	315
跨站脚本	079
依赖 JCenter/Bintray 作为项目存储库	1104
用户控制数据的反序列化	502
检测 JHipster 生成器的漏洞 CVE-2019-16303	338
禁用了 Netty HTTP 头验证	93、113
禁用了 Spring CSRF 保护	352
表达式语言注入 (JEXL)	094
表达式语言注入 (MVEL)	094
表达式语言注入 (Spring)	094
在 Maven 项目上传/下载中使用 HTTPS 或 SFTP URL 时失败	300、319、494、829
未能使用安全 Cookie	614
Groovy 语言的注入	094
HTTP 响应拆分	113
复合分配中的隐式收缩转换	190、192、197、681
隐式导出的 Android 组件	926
广播接收器对意图进行不当验证	925
低效的正则表达式	1333、730、400
通过堆栈跟踪的信息泄露	209、497
通过错误消息公开信息	209
不安全的 Bean 验证	094
不安全的 LDAP 身份验证	522、319
不安全的本地身份验证	287
不安全的随机性	330, 338
意图 URI 权限操作	266、926
使用用户控制的名称进行 JNDI 查找	074
从用户控制的来源生成的 LDAP 查询	090
JWT 签名检查缺失	347
具有用户控制输入的 OGNL 表达式语言语句	917
过于宽松的正则表达式范围	020
来自远程库的部分路径遍历漏洞	023
用于不受控制数据的多项式正则表达式	1333、730、400
从用户控制的来源生成的查询	089、564
从全局可写入文件读取	732
正则表达式注入	730、400
解析用户控制数据中的 XML 外部实体	611、776、827
服务器端请求伪造	918
服务器端的模板注入	1336、094
不受控命令行	078、088
内容解析中所用不受控数据	441、610
路径表达式中使用的不受控数据	022、023、036、073
不安全的主机名验证	297
来自远程源的 URL 转发	552
来自远程来源的 URL 重定向	601
使用已破解的或有风险的加密算法	327、328
使用密钥大小不足的加密算法	326
在安全随机数生成器中使用可预测种子	335、337
使用外部控制的格式字符串	134
使用隐式 PendingIntents	927
使用不带 OAEP 的 RSA 算法	780
数字强制转换中的用户控制数据	197、681
在权限检查中使用了用户控制数据	807、290
使用静态初始化矢量进行加密	329、1204
XPath 注入	643
使用用户控制样式表进行 XSLT 转换	074
通过 JavaScript 泄露访问 Java 对象方法	079
Android APK 的安装	094
Android 缺少证书固定	295
Android 敏感键盘缓存	524
Android WebSettings 文件访问	200
Android Web 视图 JavaScript 设置	079
Android Web 视图设置允许访问内容链接	200
允许应用程序备份	312
使用注入的环境变量生成命令	078、088、454
Android 文件系统中敏感信息的明文存储	312
使用“Properties”类的敏感信息明文存储	313
使用 Android 上 SharedPreferences 的敏感信息明文存储	312
使用 Android 上本地数据库对敏感信息进行明文存储	312
循环条件下窄类型与宽类型的比较	190、197
使用相对路径来执行命令	078、088
向通知公开敏感信息	200
向 UI 文本视图公开敏感信息	200
API 调用中的硬编码凭证	798
用户所提供数组索引的验证不正确	129
对用户所提供用于数组构造的大小的验证不正确	129
不安全的基本身份验证	522、319
不安全的 JavaMail SSL 配置	297
用于进行本地身份验证的不安全地生成的密钥	287
将敏感的信息插入日志文件	532
经由 ResultReceiver 泄露敏感信息	927
经由隐式意图泄露敏感信息	927
临时目录内的本地信息泄漏	200、732
日志注入	117
退出条件无法满足的循环	835
内容提供程序中缺失读取或写入权限	926
部分路径遍历漏洞	023
通过与可能不受信任的字符串串联生成的查询	089、564
套接字身份验证中的争用条件	421
检查时间、使用时间争用条件	367
信任边界冲突	501
算术表达式中的不受控数据	190、191
未释放的锁	764、833
不安全的证书信任	273
Android Web 视图中的不安全资源提取	749、079
使用有可能已破解或有风险的加密算法	327、328
使用具有潜在危险的函数	676
用户控制的敏感方法绕过	807、290
算术表达式中的用户控制数据	190、191