Запросы Ruby для анализа CodeQL

Изучите запросы, которые CodeQL используются для анализа кода, написанного в Ruby при выборе default или наборе security-extended запросов.

Кто может использовать эту функцию?

Code scanning доступен для репозиториев, принадлежащих организации, в GitHub Enterprise Server. Для этой функции требуется лицензия на GitHub Advanced Security. Дополнительные сведения см. в разделе Сведения о GitHub Advanced Security.

CodeQL содержит множество запросов для анализа кода Ruby. Все запросы в наборе default запросов выполняются по умолчанию. Если вы решили использовать security-extended набор запросов, выполняются дополнительные запросы. Дополнительные сведения см. в разделе Наборы запросов CodeQL.

Встроенные запросы для анализа Ruby

В этой таблице перечислены запросы, доступные в последнем выпуске действия CodeQL и CodeQL CLI. Дополнительные сведения см. в разделе CodeQL журналов изменений на сайте документации CodeQL документации.

Примечание. Первоначальный выпуск GitHub Enterprise Server 3.9 включал действие CodeQL и CodeQL CLI 2.12.7, которые могут не включать все эти запросы. Администратор сайта может обновить версию CodeQL до более новой версии. Дополнительные сведения см. в разделе Настройка сканирования кода для устройства.

Имя запроса	Связанные CWEs	По умолчанию.	Расширенное	Автофикс
Неправильная фильтрация HTML	116, 020, 185, 186
Неправильно привязанное регулярное выражение	020
Ведение журнала конфиденциальной информации с четким текстом	312, 359, 532
Хранение конфиденциальной информации с помощью очистки текста	312, 359, 532
Внедрение кода	094, 095, 116
Защита CSRF не включена	352
Защита CSRF ослабла или отключена	352
Скачивание зависимостей с помощью незашифрованного канала связи	300, 319, 494, 829
Десериализация управляемых пользователем данных	502
Скачивание конфиденциального файла через небезопасное подключение	829
Неполная очистка нескольких символов	020, 080, 116
Неполное регулярное выражение для имен узлов	020
Неполное экранирование строк или кодировка	020, 080, 116
Неполная очистка подстроки URL-адресов	020
Неэффективное регулярное выражение	1333, 730, 400
Раскрытие информации с помощью исключения	209, 497
Небезопасное назначение массы	915
Чрезмерно допустимый диапазон регулярных выражений	020
Многономиальное регулярное выражение, используемое для неконтролируемых данных	1333, 730, 400
Отражение межсерверного скрипта на стороне сервера	079, 116
Внедрение регулярных выражений	1333, 730, 400
Чтение конфиденциальных данных из запроса GET	598
Подделка запроса на стороне сервера	918
SQL-запрос, созданный из управляемых пользователем источников	089
Хранение сценариев между сайтами	079, 116
Неконтролируемая командная строка	078, 088
Неконтролируемые данные, используемые в выражении пути	022, 023, 036, 073, 099
Небезопасный HTML-код, созданный из входных данных библиотеки	079, 116
Небезопасная команда оболочки, созданная из входных данных библиотеки	078, 088, 073
Перенаправление URL-адресов из удаленного источника	601
Использование или `IO.read` аналогичных `Kernel.open` приемников с неконстантным значением	078, 088, 073
`Kernel.open`Использование приемников `IO.read` или аналогичных приемников с пользовательскими входными данными	078, 088, 073
Использование сломанного или слабого алгоритма шифрования	327
Использование строки форматирования с внешним контролем	134
Слабая конфигурация файлов cookie	732, 1275
Расширение внешней сущности XML	611, 776, 827
Жестко закодированные учетные данные	259, 321, 798
Жестко закодированные данные, интерпретированные как код	506
Внедрение журналов	117
Отсутствует привязка регулярного выражения	020
Сетевые данные, записанные в файл	912, 434
Запрос без проверки сертификата	295
Небезопасный код, созданный из входных данных библиотеки	094, 079, 116