DAY47 CVE、CWE、CVSS 常見弱點與揭露

• 一. CVE是什麼？
• 二. CWE是什麼？
• 三. CVSS 通用漏洞評分系統

一. CVE是什麼？

Common Vulnerabilities and Exposures
常見弱點與揭露

CVE是一套幫公開漏洞編號的制度
格式概念：
CVE-2026-12345
CVE-年份-編號

• CVE 漏洞識別制度
• 2026 CVE ID的年份
• 12345 該筆識別碼的序號

組合起來就是這個漏洞的公開識別碼

CVE的功能是用來識別漏洞
不是這個漏洞有多嚴重

二. CWE是什麼？

Common Weakness Enumeration
常見弱點列舉
弱點模式/弱點類型

例如：
SQL injection

1. 使用者輸入
2. 沒有安全處理
3. 直接併入SQL查詢
4. 可能產生SQL Injection

這不會只出現在某一個網站
而是有可能
A網站出現
B網站也出現
它們都是同一個類型的弱點

CWE-89
SQL隱碼攻擊

而一個CWE(攻擊分類)中會有很多的CVE(具體案例)

以醫院來假設：
CWE = 病名分類
CVE = 某個病人的實際病例編號

三. CVSS 通用漏洞評分系統

Common Vulnerability Scoring System
通用漏洞評分系統
CVSS才是用來看這個漏洞有多嚴重

根據漏洞的技術特性，產生嚴重評分

常見分數範圍：

0.0 ~ 10.0

假設：
漏洞Ａ CVSS=7.0

跟公司的核心系統有關

漏洞Ｂ CVSS=9.0

不是核心業務

哪一個需要優先處理？
這問題不能只看CVSS的分數
還要看：

• 資產價值
• 暴露程度
• 營運衝擊
• 可利用性
• 既有控制措施