JavaScript 和 TypeScript 的 CodeQL 分析查询

查询名称	相关 CWE	默认值	扩展	Copilot Autofix
归档解压期间任意文件访问（"Zip Slip"）	022
不良 HTML 过滤正则表达式	020, 080, 116, 184, 185, 186
区分大小写的中间件路径	178
以明文存储敏感信息	312, 315, 359
以明文传输敏感 Cookie	614, 311, 312, 319
明文记录敏感信息	312, 359, 532
客户端跨站脚本（XSS）	079, 116
客户端 URL 重定向	079, 116, 601
代码注入	094, 095, 079, 116
CORS 配置错误导致凭证传输问题	346, 639, 942
从密码学安全来源生成偏置随机数	327
跨窗口通信未限制目标来源	201, 359
基于用户控制来源构建的数据库查询	089, 090, 943
使用未加密的通信通道下载依赖	300, 319, 494, 829
反序列化受用户控制的数据	502
禁用证书验证	295, 297
禁用 Electron 的 webSecurity	079
禁用安全内容执行 (SCE)	116
将 DOM 文本重新解释为 HTML	079, 116
双重编译	1176
双重转义或反转义	116, 020
通过不安全的连接下载敏感文件	829
启用 Electron 的 allowRunningInsecureContent	494
异常文本重新解释为 HTML	079, 116
私有文件泄露	200, 219, 548
在电子邮件生成过程中的 Host Header 投毒	640
代码消毒不当	094, 079, 116
包含来自不受信任来源的功能	830
HTML 属性消毒不完整	079, 116, 020
多字符消毒不完整	020, 080, 116
主机名正则表达式不完整	020
字符串转义或编码不完整	020, 080, 116
URL 协议检查不完整	020, 184
URL 子串清理不完整	020
后缀检查错误	020
低效正则表达式	1333, 730, 400
通过堆栈跟踪泄露信息	209, 497
Helmet 安全中间件配置不安全	693, 1021
随机性不安全	338
不安全的 URL 白名单	183, 625
JWT 缺少密钥或公钥校验	347
循环边界注入	834, 730
缺少 CSRF 中间件	352
缺少速率限制	770, 307, 400
正则表达式范围过于宽松	020
宽松的 CORS 配置	942
在未受控数据上使用多项式正则表达式	1333, 730, 400
原型污染赋值	078, 079, 094, 400, 471, 915
原型污染函数	078, 079, 094, 400, 471, 915
原型污染的合并调用	078, 079, 094, 400, 471, 915
反射型跨站脚本（XSS）	079, 116
正则表达式注入	730, 400
将子字符串替换为自身	116
资源耗尽	400, 770
深度对象遍历导致的资源耗尽	400
二阶命令注入	078, 088
从 GET 请求读取敏感数据	598
敏感服务器 Cookie 暴露给客户端	1004
服务器崩溃	248, 730
服务器端请求伪造	918
服务器端 URL 重定向	601
从环境变量构造的 Shell 命令	078, 088
在构建产物中存储敏感信息	312, 315, 359
存储型跨站脚本（XSS）	079, 116
模板对象注入	073, 094
通过参数篡改导致的类型混淆	843
未受控的命令行	078, 088
未受控数据用于路径表达式	022, 023, 036, 073, 099
不必要的 cat 进程使用	078
不安全的动态方法访问	094
不安全的自闭合 HTML 标签展开	079, 116
从库输入构造的不安全 HTML	079, 116
不安全的 jQuery 插件	079, 116
从库输入构建的不安全 shell 命令	078, 088
在脚本或其他内容中使用不受信任的域名	830
未验证的动态方法调用	754
使用破损或弱的加密算法	327, 328
使用弱加密密钥	326
使用受外部控制的格式字符串	134
使用计算强度不足的密码哈希	916
无效的正则表达式字符转义	020
XML 外部实体展开	611, 827
XML 内部实体展开	776, 400
XPath 注入	643
客户端请求伪造	918
配置文件中的空密码	258, 862
未能放弃会话	384
出站网络请求中的文件数据	200
硬编码数据被解释为代码	506
间接未受控的命令行	078, 088
不安全的临时文件	377, 378
日志注入	117
postMessage 处理程序缺少来源验证	020, 940
缺少正则表达式锚点	020
网络数据写入文件	912, 434
潜在的文件系统竞争条件	367
远程属性注入	250, 400
无 SameSite 限制的敏感 Cookie	1275
从库输入构造的不安全代码	094, 079, 116
用户控制的安全检查绕过	807, 290