Knowledge File / 全球热点解读

2026-08-20 5 浏览公开

CodeQL 2.26.3 改进 GitHub Actions 查询和 JavaScript 建模

Q: 这篇文章和哪些AI专题相关？

它适合放在AI日报、AI工具、Agent工作流专题里阅读。 关联原因：这篇内容命中「热点解读」等主题信号。；这篇内容来自该专题长期覆盖的栏目。；这篇内容来自该专题长期覆盖的栏目。

CodeQL 2.26.3 增加了 JavaScript、TypeScript 和 Vue 源代码建模，并提高了多个 GitHub Actions 查询的准确性。

SOURCE / 全球热点解读 MIN / 9 ACCESS / 公开 POST / 2026-08-20 05:09:30

原贴

查看原文

作者：Allison 来源站点：github.blog 原贴时间： 2026-08-20 05:09:30

原文

CodeQL 2.26.3 adds JavaScript, TypeScript, and Vue source modeling and improves the accuracy of several GitHub Actions queries. CodeQL is the static analysis engine behind GitHub code scanning , which helps you find and remediate security issues in your code. Analysis now recognizes untrusted data in github.event.merge_group for workflows triggered by the merge_group event. Breaking change: We’ve removed the codeql.actions.security.SelfHostedQuery module because runner labels don’t reliably distinguish self-hosted runners from managed runners. You’ll need to update any custom queries that rely on this module. Custom models can now reference specific files using a package name in the form file: . This lets you define sources and sinks based on a file’s public exports. We’ve added flow models for Vue’s ref , shallowRef , toRef , reactive , and computed Composition API helpers. CodeQL now recognizes Vue Router’s useRoute() Composition API as a client-side remote flow source, including its query , params , path , fullPath , and hash members. CodeQL now treats declared inputs properties in Sails Action2 controller files as remote flow sources. This may improve results for queries such as js/path-injection . Queries using the response threat model now track promise-wrapped client response data into promise fulfillment values. This may improve results for queries such as js/xss . We’ve added flow source models for RegQueryValue and related functions from the winreg.h Windows header. We’ve removed library input to vendored gems from the set of taint sources, reducing false positives for several queries when you use vendoring. We’ve improved the accuracy of the actions/output-clobbering/high query so it no longer reports simple jq path filters when their output remains JSON-encoded. We also implemented a fix for a performance issue in this query caused by unescaped regular expression input. The actions/cache-poisoning/poisonable-step and actions/untrusted-checkout/critical queries now start paths at the expressions that control untrusted checkouts, making alerts easier to follow.

中文翻译

CodeQL 2.26.3 增加了 JavaScript、TypeScript 和 Vue 源代码建模，并提高了几个 GitHub Actions 查询的准确性。CodeQL 是 GitHub 代码扫描背后的静态分析引擎，可帮助您发现并修复代码中的安全问题。现在分析可以识别由 merge_group 事件触发的工作流中 github.event.merge_group 中的不可信数据。重大变更：我们移除了 codeql.actions.security.SelfHostedQuery 模块，因为运行器标签不能可靠地区分自托管运行器和托管运行器。您需要更新依赖此模块的任何自定义查询。自定义模型现在可以使用 file: 形式的包名引用特定文件。这允许您基于文件的公共导出定义数据源和数据汇。我们为 Vue 的 ref、shallowRef、toRef、reactive 和 computed Composition API 辅助函数添加了流模型。CodeQL 现在将 Vue Router 的 useRoute() Composition API 识别为客户端远程流源，包括其 query、params、path、fullPath 和 hash 成员。CodeQL 现在将 Sails Action2 控制器文件中声明的输入属性视为远程流源。这可能会改进 js/path-injection 等查询的结果。使用响应威胁模型的查询现在将 promise 包装的客户端响应数据跟踪到 promise 完成值。这可能会改进 js/xss 等查询的结果。我们为 winreg.h Windows 头文件中的 RegQueryValue 和相关函数添加了流源模型。我们从污染源集合中移除了对 vendored gems 的库输入，从而减少了在使用 vendoring 时多个查询的误报。我们提高了 actions/output-clobbering/high 查询的准确性，因此当输出保持 JSON 编码时，它不再报告简单的 jq 路径过滤器。我们还修复了此查询中由未转义的正则表达式输入引起的性能问题。actions/cache-poisoning/poisonable-step 和 actions/untrusted-checkout/critical 查询现在从不信任签出控制的表达式开始路径，使警报更易于跟踪。

核心信息

CodeQL 2.26.3 增加了 JavaScript、TypeScript 和 Vue 源代码建模，并提高了多个 GitHub Actions 查询的准确性。

CodeQL 2.26.3 增加了 JavaScript、TypeScript 和 Vue 源代码建模，并提高了多个 GitHub Actions 查询的准确性。
原贴提到：CodeQL 2.26.3 adds JavaScript, TypeScript, and Vue source modeling and i
来源：github.blog

详细解读

这是一个关于 GitHub 代码扫描引擎 CodeQL 的版本更新，重点提升了 JavaScript/TypeScript 生态的建模能力，并修复了多个 GitHub Actions 相关查询的准确性问题。信号：GitHub 正在加强供应链安全和 CI/CD 场景的漏洞检测，特别是对 JavaScript/TypeScript 和 Vue 的覆盖。

为什么重要：对使用 GitHub Actions 的团队，需要更新自定义查询以适应移除的模块；对安全工程师，新的流模型能更好发现 XSS、路径注入等问题；对普通开发者，CodeQL 的改进意味着代码扫描能更精准地发现漏洞，减少误报。

对谁有价值：主要价值受众是使用 GitHub 进行代码托管和 CI/CD 的团队，尤其是重视安全合规的企业；其次是有 JavaScript/TypeScript 项目的开源维护者；此外，Sails 和 Vue 框架的开发者会直接受益于新的流源建模。

可以怎么行动：1. 升级 CodeQL CLI 或 GitHub Actions 中的 CodeQL 版本到 2.26.3；2. 检查自定义查询是否依赖 codeql.actions.security.SelfHostedQuery 模块，如有需要迁移到替代方案；3. 针对 Vue、Vue Router 和 Sails 项目运行扫描，观察新模型是否带来新的告警；4. 对使用 vendored gems 的项目，确认误报减少是否符合预期。

风险或限制：移除 SelfHostedQuery 模块可能导致依赖它的自定义查询失效，需尽快迁移；新模型可能引入新的误报，建议在 CI 中设置渐进式采用策略；由于 CodeQL 本身是商业产品，部分高级功能可能需要付费许可，升级前需确认版本兼容性。

信息差价值

这条内容的真正价值，不只是“有人发布了一个新功能”，而是它揭示了 github.blog 背后的产品方向、工作流变化或竞争信号。对 OPC 来说，这种信息可以转化成持续追踪的栏目选题。

如果把《CodeQL 2.26.3 改进 GitHub Actions 查询和 JavaScript 建模》放到你的内容系统里，它最大的价值在于帮助读者更快看懂“为什么值得关注”，而不是只看到一条碎片化动态。

参考来源

Allison 原帖

TOPIC HUBS

延伸专题

AI日报 AI日报：每日AI信号、工具动态与行动判断

这篇内容命中「热点解读」等主题信号。

AI工具 AI工具：模型、插件、自动化与实战场景

这篇内容来自该专题长期覆盖的栏目。

Agent工作流 Agent工作流：智能体、AI编程与自动化协作

这篇内容来自该专题长期覆盖的栏目。

AI SUMMARY

这篇文章回答了什么