CWE

CWE — Common Weakness Enumeration, открытая таксономия классов слабостей, возникающих при проектировании, разработке или настройке программных и аппаратных компонентов. Запись CWE описывает тип ошибки, например некорректную проверку входных данных или нарушение контроля доступа, а не конкретный дефект в определённой версии продукта. Классификация задаёт идентификаторы, описания, связи между общими и частными слабостями, а также примеры последствий и мер предотвращения. Одной записи CWE могут соответствовать многие CVE, если отдельные опубликованные уязвимости имеют одинаковую первопричину. Сопоставление зависит от качества анализа и не всегда однозначно. CWE применяют при закупке и оценке средств SAST, DAST, анализа компонентов и в программах безопасной разработки: важно проверять, какие классы слабостей инструмент выявляет и как представляет результаты. CWE отличается от CVE, идентифицирующего конкретную уязвимость, и от CVSS, оценивающего её характеристики и тяжесть.