CWE и CVE: тип уязвимости и конкретная дыра
К@pentesting_channelавтор про «it»
1 недCVE vs CWE. Вечно путают, а разница в 10 секунд.
CWE - это вид уязвимости.
Шаблон. Например CWE-89 это SQL-инъекция. Всего таких шаблонов около 900. Это как диагноз.
CVE - это уже найденная дыра в реальном софте.
Конкретный кейс. Например CVE-2023-44487 - уязвимость в протоколе HTTP/2. У нее есть номер, дата, описание и патч. Это как история болезни.
Итого:
CWE = какой тип проблемы
CVE = где именно она случилась
Поэтому сначала закрываешь конкретную CVE, а потом по ее CWE идешь и проверяешь весь остальной код на такие же ошибки.
Все








