Incomplete naming schema and API usage patterns in py/insecure-cookie

Offen

#21,647 erstellt am 03.4.2026 1 Kommentar 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 4/5
Geschätzter Aufwand: 3-5 Tage
Anfängerfreundlichkeit: 52/100

Issue-Typ: Feature
Klarheit: Größtenteils klar
Aktivitätsstatus: Ruhig
Tech-Stack: python
Bereich: security

Rechercherichtung

Beginne bei der Regel py/insecure-cookie und untersuche das im Issue beschriebene Prädikat cookie.isSensitive sowie die Verarbeitung von set_cookie. Vergleiche die aufgeführten Token-Namen und direkten Set-Cookie-Beispiele mit dem aktuellen Verhalten; abgeschlossen ist die Aufgabe, wenn die unterstützten Muster für Authentifizierungs-Cookies erkannt werden, ohne sich ausschließlich auf Framework-Methoden zu stützen.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

The existing cookie.isSensitive predicate seems to miss common modern authentication token patterns. I have found some and listed them below.
The rule currently relies primarily on specific framework methods (e.g., set_cookie). It ignores direct HTTP manipulation, which is also very common.

code example:

from flask import Flask, Response, make_response

app = Flask(__name__)

@app.route("/login")
def login():
    resp = make_response("Logged in")
    resp.set_cookie("authKey", "secret123") # $ Alert[py/insecure-cookie]
    resp.set_cookie("accessToken", "secret123") # $ missing
    resp.set_cookie("access_token", "secret123") # missing
    resp.set_cookie("auth_token", "secret123") # missing
    resp.set_cookie("jwt", "secret123") # $ missing
    resp.set_cookie("oauth_token", "secret123") # $ missing


    # cannot support this
    resp.headers.add("Set-Cookie", "authKey=secret123") # missing

    # This is also common, but it seems more difficult to support this.
    from http.cookies import SimpleCookie
    resp = make_response("Logged in")
    cookie = SimpleCookie()
    cookie["session"]['authKey'] = "secret123" # missing
    # cookie["session"]["httponly"] = True
    # cookie["session"]["secure"] = True
    for key, morsel in cookie.items():
        resp.headers.add('Set-Cookie', morsel.OutputString())
    return resp

Vorherrschende Sprache: CodeQL
Sterne: 10.1k
Forks: 2.1k
Ø Merge: 2 T. 16 Std.
Gemergte PRs (30 T.): 143

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus github/codeql

[aw] Update rust-analyzer has stale lock file Offen

agentic-workflows

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 70/100

github/codeql#22656 · Erstellt am 23.9.2026
JavaScript externs model StorageEvent() with no type argument Offen

false-positive javascript

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 84/100

github/codeql#22632 · 1 Kommentar · Erstellt am 20.9.2026
C#: cs/simplifiable-boolean-expression false positive on Nullable<bool> compared with a literal Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 82/100

github/codeql#22556 · Erstellt am 14.9.2026
Add AlertSuppression.ql for Rust (inline // codeql[...] suppression) Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 78/100

github/codeql#21637 · 2 Kommentare · Erstellt am 02.4.2026
Organization owned immutable actions raise warning about unpinned 3rd party actions tag Offen

false-positive

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 70/100

github/codeql#21076 · 3 Kommentare · 3 Reaktionen · Erstellt am 21.12.2025

Alle Issues in github/codeql