CodeQL には、Swift コードを分析するためのクエリが多数含まれています。 default
クエリ スイート内のすべてのクエリは、既定で実行されます。 security-extended
クエリ スイートを使用する場合は、追加のクエリが実行されます。 詳しくは、「CodeQL クエリ スイート」を参照してください。
Swift 分析用の組み込みクエリ
次の表に、最新リリースの CodeQL アクションと CodeQL CLI で使用できるクエリを示します。 詳細については、CodeQL ドキュメントにある CodeQL クエリに関するページを参照してください。
注: GitHub Enterprise Server 3.9 の最初のリリースには、CodeQL アクションと CodeQL CLI 2.12.7 が含まれていました。これには、これらのクエリがすべて含まれていない場合があります。 サイト管理者は、CodeQL バージョンを新しいリリースに更新できます。 詳しくは、「アプライアンス用コードスキャンの構成」を参照してください。
クエリ名 | 関連する CWE | デフォルト値 | Extended |
---|---|---|---|
不正な HTML フィルタリング正規表現 | 116, 020, 185, 186 | ||
機密情報のクリア テキスト ログ | 312, 359, 532 | ||
ローカル データベース内の機密情報のクリア テキスト ストレージ | 312 | ||
アプリケーション設定ストア内の機密情報のクリア テキスト ストレージ | 312 | ||
機密情報のクリア テキスト送信 | 319 | ||
定数パスワード | 259 | ||
ユーザーが制御するソースから構築されたデータベース クエリ | 089 | ||
ECB を使用した暗号化 | 327 | ||
ハードコードされた暗号化キー | 321 | ||
ホスト名の不完全な正規表現 | 020 | ||
非効率的な正規表現 | 1333, 730, 400 | ||
セキュリティで保護されていない TLS 構成 | 757 | ||
ハッシュイテレーションが不十分 | 916 | ||
正規表現アンカーがない | 020 | ||
ユーザーが制御するソースから構築された述語 | 943 | ||
正規表現インジェクション | 730, 400 | ||
ユーザーが制御するデータ内の XML 外部エンティティの解決 | 611, 776, 827 | ||
暗号化用の静的初期化ベクトル | 329, 1204 | ||
文字列長の混同 | 135 | ||
ユーザーが制御するソースから構築されたシステム コマンド | 078, 088 | ||
パス式で使用される制御されないデータ | 022, 023, 036, 073, 099 | ||
制御されないフォーマット文字列 | 134 | ||
安全でない WebView フェッチ | 079, 095, 749 | ||
機密データに対する破損または脆弱な暗号化ハッシュ アルゴリズムの使用 | 327, 328 | ||
パスワードに不適切な暗号化ハッシュ アルゴリズムの使用 | 327, 328, 916 | ||
定数ソルトの使用 | 760 | ||
JavaScript インジェクション | 094, 095, 749 |