Consultas de Ruby para el análisis de CodeQL

Explore las consultas que CodeQL usa para analizar el código escrito en Ruby al seleccionar default o el conjunto de consultas security-extended.

¿Quién puede utilizar esta característica?

CodeQL está disponible para los siguientes tipos de repositorios:

CodeQL incluye muchas consultas para analizar código de Ruby. Todas las consultas del conjunto de consultas default se ejecutan de manera predeterminada. Si decide usar el conjunto de consultas security-extended, se ejecutan consultas adicionales. Para obtener más información, vea «Conjuntos de consultas codeQL».

Consultas integradas para el análisis de Ruby

En esta tabla se enumeran las consultas disponibles con la versión más reciente de la acción CodeQL y CodeQL CLI. Para obtener más información, consulte "Registros de cambios CodeQL" en el sitio de documentación de CodeQL.

Nombre de la consultaCWE relacionadosValor predeterminadoAmpliadoCopilot Autofix
Expresión regular de filtrado HTML incorrecta116, 020, 185, 186
Expresión regular mal anclada020
Registro de texto no cifrado de información confidencial312, 359, 532
Almacenamiento de texto no cifrado de información confidencial312, 359, 532
Inyección de código094, 095, 116
Protección CSRF no habilitada352
Protección CSRF debilitada o deshabilitada352
Descarga de dependencias mediante el canal de comunicación sin cifrar300, 319, 494, 829
Deserialización de datos controlados por el usuario502
Descarga de archivos confidenciales a través de una conexión no segura829
Saneamiento de varios caracteres incompleto020, 080, 116
Expresión regular para nombres de host incompleta020
Escape o codificación de cadenas incompletas020, 080, 116
Saneamiento de subcadena de direcciones URL incompleta020
Expresión regular ineficaz1333, 730, 400
Exposición de la información a través de una excepción209, 497
Asignación masiva no segura915
Intervalo de expresiones regulares excesivamente permisivo020
Expresión regular polinómica usada en datos no controlados1333, 730, 400
Scripting entre sitios en reflexiones del lado servidor079, 116
Inserción de expresiones regulares1333, 730, 400
Información confidencial leída desde la solicitud GET598
Falsificación de solicitud del lado servidor918
Consulta SQL creada a partir de orígenes controlados por el usuario089
Scripting entre sitios almacenado079, 116
Línea de comandos no controlada078, 088
Datos usados en la expresión de ruta de acceso no controlados022, 023, 036, 073, 099
HTML no seguro construido a partir de la entrada de biblioteca079, 116
Comando de shell no seguro construido a partir de la entrada a la biblioteca078, 088, 073
Redireccionamiento de direcciones URL desde origen remoto601
Utilización de Kernel.open, IO.read o receptores similares con un valor no constante078, 088, 073
Utilización de Kernel.open, IO.read o receptores similares con entrada controlada por el usuario078, 088, 073
Utilización de un algoritmo criptográfico roto o débil327
Utilización de un algoritmo hash criptográfico roto o débil con datos confidenciales327, 328, 916
Utilización de cadenas de formato controladas externamente134
Configuración de cookies débil732, 1275
Expansión de entidades externas de XML611, 776, 827
Credenciales codificadas de forma rígida259, 321, 798
Datos codificados de forma rígida interpretados como código506
Inserción de registros117
Falta el delimitador de expresiones regulares020
Datos de red escritos en el archivo912, 434
Solicitud sin validación de certificados295
Código no seguro construido a partir de la entrada a la biblioteca094, 079, 116