Consultas JavaScript e TypeScript para análise CodeQL

Nome da consulta	CWEs relacionados	Padrão	Estendido	Copilot Autofix
Acesso arbitrário a arquivos durante a extração de arquivos ("Zip Slip")	022
Regexp de filtragem HTML incorreta	020, 080, 116, 184, 185, 186
Caminho de middleware que diferencia maiúsculas de minúsculas	178
Armazenamento de texto não criptografado de informações confidenciais	312, 315, 359
Transmissão de texto não criptografado de cookie confidencial	614, 311, 312, 319
Registro em log de texto não criptografado de informações confidenciais	312, 359, 532
Cross-site scripting do lado do cliente	079, 116
Redirecionamento de URL do lado do cliente	079, 116, 601
Injeção de código	094, 095, 079, 116
Configuração incorreta de CORS para transferência de credenciais	346, 639, 942
Criar números aleatórios tendenciosos com base em uma fonte criptograficamente segura	327
Comunicação entre janelas com origem de destino não restrita	201, 359
Consulta de banco de dados criada com base em fontes controladas pelo usuário	089, 090, 943
Download de dependência usando canal de comunicação não criptografado	300, 319, 494, 829
Desserialização de dados controlados pelo usuário	502
Desabilitar a validação de certificado	295, 297
Desabilitar Electron webSecurity	079
Desabilitando o SCE	116
Texto DOM reinterpretado como HTML	079, 116
Compilação dupla	1176
Dupla escapagem ou desescapagem	116, 020
Download de arquivo confidencial através de conexão insegura	829
Habilitar Electron allowRunningInsecureContent	494
Texto de exceção reinterpretado como HTML	079, 116
Exposição de arquivos privados	200, 219, 548
Envenenamento do cabeçalho Host na geração de e-mail	640
Limpeza inadequada do código	094, 079, 116
Inclusão de funcionalidade de uma fonte não confiável	830
Limpeza de atributo HTML incompleta	079, 116, 020
Limpeza incompleta de vários caracteres	020, 080, 116
Expressão regular incompleta para nomes de host	020
Escape ou codificação incompleta da cadeia de caracteres	020, 080, 116
Verificação de esquema de URL incompleto	020, 184
Sanitização incompleta de substring de URL	020
Verificação de sufixo incorreta	020
Expressão regular ineficiente	1333, 730, 400
Exposição de informações via rastreamento da pilha	209, 497
Configuração insegura do middleware de segurança do Helmet	693, 1021
Aleatoriedade não segura	338
Lista de permissões de URLs não seguras	183, 625
JWT sem segredo ou verificação de chave pública	347
Injeção vinculada em loop	834, 730
Middleware de CSRF ausente	352
Limitação de taxa ausente	770, 307, 400
Intervalo de expressão regular excessivamente permissivo	020
Configuração permissiva do CORS	942
Expressão regular polinomial usada em dados não controlados	1333, 730, 400
Atribuição que polui o protótipo	078, 079, 094, 400, 471, 915
Função que polui o protótipo	078, 079, 094, 400, 471, 915
Chamada de mesclagem com poluição de protótipo	078, 079, 094, 400, 471, 915
Cross-site scripting refletido	079, 116
Injeção de expressão regular	730, 400
Substituição de uma subcadeia por ela mesma	116
Esgotamento de recursos	400, 770
Exaustão de recursos causada pelo percurso profundo de objetos	400
Injeção de comando de segunda ordem	078, 088
Dados confidenciais lidos da solicitação GET	598
Cookie de servidor confidencial exposto ao cliente	1004
Falha do servidor	248, 730
Solicitação forjada do lado do servidor	918
Redirecionamento de URL do lado do servidor	601
Comando do shell criado com base em valores de ambiente	078, 088
Armazenamento de informações confidenciais no artefato de compilação	312, 315, 359
Script entre sites armazenado	079, 116
Injeção de prompt do sistema	1427
Injeção de objeto de modelo	073, 094
Confusão de tipos por meio de adulteração de parâmetros	843
Linha de comando não controlada	078, 088
Dados não controlados usados na expressão de caminho	022, 023, 036, 073, 099
Uso desnecessário do processo cat	078
Acesso não seguro ao método dinâmico	094
Expansão não segura da tag HTML de fechamento automático	079, 116
HTML não seguro construído com base na entrada da biblioteca	079, 116
Plug-in jQuery não seguro	079, 116
Comando shell não seguro construído com base na entrada da biblioteca	078, 088
Domínio não confiável usado em script ou outro conteúdo	830
Chamada de método dinâmico não validada	754
Uso de um algoritmo criptográfico danificado ou fraco	327, 328
Uso de uma chave criptográfica fraca	326
Uso de cadeia de caracteres de formato controlada externamente	134
Uso de hash de senha com esforço computacional insuficiente	916
Escape de caracteres de expressão regular inútil	020
Expansão de entidades externas em XML	611, 827
Expansão interna de entidade XML	776, 400
Injeção de XPath	643
Falsificação de solicitações no lado do cliente	918
Senha vazia no arquivo de configuração	258.862
Falha ao encerrar a sessão	384
Dados de arquivo na solicitação de rede de saída	200
Dados codificados interpretados como código	506
Linha de comando indireta não controlada	078, 088
Arquivo temporário não seguro	377, 378
Injeção de log	117
Verificação de origem ausente no manipulador postMessage	020, 940
Âncora de expressão regular ausente	020
Dados de rede gravados no arquivo	912, 434
Condição de corrida potencial do sistema de arquivos	367
Injeção de propriedade remota	250, 400
Cookie confidencial sem restrições do SameSite	1275
Código não seguro construído com base na entrada da biblioteca	094, 079, 116
Desvio da verificação de segurança controlado pelo usuário	807, 290