Glossaire
CWE
Common Weakness Enumeration
Liste des types de faiblesses logicielles et matérielles : la catégorie d'erreur derrière une CVE.
Common Weakness Enumeration est une liste communautaire de types de faiblesses logicielles et matérielles, maintenue par MITRE. Là où une CVE désigne une faille précise dans un produit précis, une CWE désigne la catégorie d'erreur qui l'a rendue possible.
Quelques identifiants courants : CWE-79 (cross-site scripting), CWE-89 (injection SQL), CWE-22 (path traversal), CWE-787 (écriture hors limites), CWE-502 (désérialisation de données non fiables). Les CWE sont organisées en hiérarchie, des catégories générales aux faiblesses très spécifiques.
MITRE publie chaque année, avec le soutien de la CISA, le classement CWE Top 25 des faiblesses les plus dangereuses. Côté défense, la CWE aide à repérer les classes de bugs qui reviennent dans un produit, et à orienter revues de code et tests.
Termes liés
- CVEIdentifiant public unique attribué à une vulnérabilité de sécurité, au format CVE-ANNÉE-NUMÉRO.
- Vecteur CVSSLa chaîne de texte qui détaille, métrique par métrique, comment une note CVSS a été obtenue.
- NVDLa base de vulnérabilités du NIST, qui enrichit chaque CVE d'un score CVSS, d'une CWE et des produits touchés.