Consultas de JavaScript y TypeScript para el análisis de CodeQL

Nombre de la consulta	CWE relacionados	Valor predeterminado	Ampliado	Copilot Autofix
Acceso arbitrario a archivos durante la extracción de archivos ("Zip Slip")	022
Expresión regular de filtrado HTML incorrecta	020, 080, 116, 184, 185, 186
Ruta de acceso del middleware sensible a mayúsculas y minúsculas	178
Almacenamiento de texto no cifrado de información confidencial	312, 315, 359
Transmisión de texto no cifrado de cookies confidenciales	614, 311, 312, 319
Registro de texto no cifrado de información confidencial	312, 359, 532
Secuencias de comandos entre sitios en el cliente	079, 116
Redireccionamiento de direcciones URL del lado cliente	079, 116, 601
Inyección de código	094, 095, 079, 116
Configuración errónea de CORS para la transferencia de credenciales	346, 639, 942
Creación de números aleatorios sesgados a partir de un origen criptográfico seguro	327
Comunicación entre ventanas con origen de destino sin restricciones	201, 359
Consulta de base de datos creada a partir de orígenes controlados por el usuario	089, 090, 943
Descarga de dependencias a través de un canal de comunicación no cifrado	300, 319, 494, 829
Deserialización de datos controlados por el usuario	502
Deshabilitación de la validación de certificados	295, 297
Desactivar webSecurity de Electron	079
Desactivar SCE	116
Texto DOM reinterpretado como HTML	079, 116
Compilación doble	1176
Escapado doble o desescapado	116, 020
Descarga de archivos confidenciales a través de una conexión no segura	829
Habilitación de Electron allowRunningInsecureContent	494
Texto de excepción reinterpretado como HTML	079, 116
Exposición de archivos privados	200, 219, 548
Envenenamiento de la cabecera Host en la generación de correos electrónicos	640
Sanitización incorrecta del código	094, 079, 116
Inclusión de la funcionalidad de un origen no de confianza	830
Saneamiento de atributos HTML incompletos	079, 116, 020
Saneamiento de varios caracteres incompleto	020, 080, 116
Expresión regular para nombres de host incompleta	020
Escape o codificación de cadenas incompletas	020, 080, 116
Comprobación incompleta del esquema de URL	020, 184
Sanitización incompleta de subcadenas de URL	020
Comprobación incorrecta del sufijo	020
Expresión regular ineficaz	1333, 730, 400
Exposición de información a través de una traza de pila	209, 497
Configuración no segura del middleware de seguridad de Helmet	693, 1021
Aleatoriedad insegura	338
Lista blanca de direcciones URL no seguras	183, 625
Falta el secreto de JWT o la comprobación de clave pública	347
Inyección del límite del bucle	834, 730
Falta el middleware de CSRF	352
Ausencia de limitación de velocidad	770, 307, 400
Intervalo de expresiones regulares excesivamente permisivo	020
Configuración de CORS permisiva	942
Expresión regular polinómica usada en datos no controlados	1333, 730, 400
Asignación de prototipos contaminantes	078, 079, 094, 400, 471, 915
Función que contamina prototipos	078, 079, 094, 400, 471, 915
Llamada a merge que contamina prototipos	078, 079, 094, 400, 471, 915
Secuencias de comandos en sitios cruzados reflejadas	079, 116
Inserción de expresiones regulares	730, 400
Reemplazo de una subcadena por la misma	116
Agotamiento de recursos	400, 770
Agotamiento de recursos por recorrido profundo de objetos	400
Inyección de comandos de segundo orden	078, 088
Información confidencial leída desde la solicitud GET	598
Cookie de servidor confidencial expuesta al cliente	1004
Bloqueo del servidor	248, 730
Falsificación de solicitud del lado servidor	918
Redireccionamiento de direcciones URL del lado servidor	601
Comando de Shell creado a partir de valores de entorno	078, 088
Almacenamiento de información confidencial en el artefacto de compilación	312, 315, 359
Secuencias de comandos entre sitios almacenadas	079, 116
Inyección del prompt del sistema	1427
Inserción de objetos de plantilla	073, 094
Confusión de tipos mediante manipulación de parámetros	843
Línea de comandos no controlada	078, 088
Datos no controlados usados en la expresión de ruta	022, 023, 036, 073, 099
Utilización innecesaria del proceso cat	078
Acceso a métodos dinámicos no seguros	094
Expansión no segura de la etiqueta HTML de cierre automático	079, 116
HTML no seguro construido a partir de la entrada de biblioteca	079, 116
Extensión de jQuery no segura	079, 116
Comando de shell no seguro construido a partir de la entrada a la biblioteca	078, 088
Dominio que no es de confianza usado en script u otro contenido	830
Llamada de método dinámica no validada	754
Utilización de un algoritmo criptográfico roto o débil	327, 328
Utilización de una clave criptográfica débil	326
Utilización de cadenas de formato controladas externamente	134
Utilización del hash de contraseñas con un esfuerzo computacional insuficiente	916
Escape de caracteres de expresión regular inútil	020
Expansión de entidades externas de XML	611, 827
Expansión de entidades internas de XML	776, 400
Inserción de XPath	643
Falsificación de solicitud del lado cliente	918
Contraseña vacía en el archivo de configuración	258.862
Error al cancelar la sesión	384
Datos de archivo en la solicitud de red saliente	200
Datos codificados de forma rígida interpretados como código	506
Línea de comandos indirecta no controlada	078, 088
Archivo temporal no seguro	377, 378
Inserción de registros	117
Falta la comprobación de origen en el controlador postMessage	020, 940
Falta el delimitador de expresiones regulares	020
Datos de red escritos en el archivo	912, 434
Posible condición de carrera del sistema de archivos	367
Inserción de propiedades remotas	250, 400
Cookie confidencial sin restricciones de SameSite	1275
Código no seguro construido a partir de la entrada a la biblioteca	094, 079, 116
Omisión controlada por el usuario de la comprobación de seguridad	807, 290