IT用語
ソフトウェアの弱点（脆弱性の原因）の種類を分類した共通の一覧。「CWE-79（XSS）」のように番号で表す。
CWE（Common Weakness Enumeration）は、ソフトウェアやハードウェアの弱点（脆弱性 の原因になる設計や実装の誤り）の種類を分類した、共通の一覧です。CVE と同じく MITRE が運営しています。
CVE との違い
CVE は「どの製品の、どの脆弱性か」という個別の脆弱性に付く番号で、CWE は「どんな種類の誤りか」という原因の分類に付く番号です。一つの CVE に、原因として CWE の番号が付けられることがよくあります。
主な例
- CWE-79：XSS（Webページの生成時の入力の不適切な無害化）
- CWE-89：SQLインジェクション
- CWE-352：CSRF
- CWE-22：パストラバーサル
- CWE-78：OSコマンドインジェクション
使い方
脆弱性の情報を読むときに、どの種類の問題かを把握する手がかりになります。開発では、よく見られる危険な弱点をまとめた「CWE Top 25」を、レビューやテストの観点として使うこともできます。
