Actions queries for CodeQL analysis

Explore the queries that CodeQL uses to analyze code written in GitHub Actions workflow files when you select the default or the security-extended query suite.

この機能を使用できるユーザーについて

CodeQL は、次の種類のリポジトリで使用できます:

  • GitHub.com のパブリック リポジトリについては、「GitHub CodeQL の使用条件」を参照してください
  • GitHub Code Security が有効になっている GitHub Team または GitHub Enterprise Cloud 上の organization 所有のリポジトリ

CodeQL includes many queries for analyzing GitHub Actions workflows. default クエリ スイート内のすべてのクエリは、既定で実行されます。 security-extended クエリ スイートを使用する場合は、追加のクエリが実行されます。 詳しくは、「CodeQL クエリ スイート」をご覧ください。

Built-in queries for GitHub Actions analysis

次の表に、最新リリースの CodeQL アクションと CodeQL CLI で使用できるクエリを示します。 詳細については、CodeQL ドキュメントにある CodeQL クエリに関するページを参照してください。

Query nameRelated CWEsDefaultExtendedCopilot Autofix
Artifact poisoning829
Cache Poisoning via caching of untrusted files349
Cache Poisoning via execution of untrusted code349
Cache Poisoning via low-privileged code injection349, 094
Checkout of untrusted code in a privileged context829
Checkout of untrusted code in trusted context829
Code injection094, 095, 116
Environment variable built from user-controlled sources077, 020
Excessive Secrets Exposure312
Improper Access Control285
PATH environment variable built from user-controlled sources077, 020
Storage of sensitive information in GitHub Actions artifact312
Unmasked Secret Exposure312
Untrusted Checkout TOCTOU367
Untrusted Checkout TOCTOU367
Use of a known vulnerable action1395
Workflow does not contain permissions275
Artifact poisoning829
Checkout of untrusted code in trusted context829
Code injection094, 095, 116
Environment variable built from user-controlled sources077, 020
PATH environment variable built from user-controlled sources077, 020
Unpinned tag for a non-immutable Action in workflow829