O CodeQL CLI está vulnerável a um ataque de Entidade Externa XML devido a um analisador XML usado para ler arquivos auxiliares. Essa vulnerabilidade pode ser explorada ao processar bancos de dados CodeQL modificados de forma maliciosa ou fontes de consulta QL especialmente preparadas, podendo levar à perda de privacidade ou ao vazamento de segredos. Pesquisadores de segurança e autores de QL que recebem bancos de dados ou arquivos fonte QL de fontes não confiáveis podem ser afetados. Aqueles que utilizam o CodeQL para análise de rotina de árvores de código-fonte com um conjunto pré-selecionado de consultas confiáveis não são afetados.