CVE (Common Vulnerabilities and Exposures) to publiczny system numerowania znanych podatności w oprogramowaniu. Każda luka dostaje unikalny identyfikator w formacie CVE-rok-numer, na przykład CVE-2021-44228.
Do czego służy CVE?
Ujednolica nazewnictwo podatności, dzięki czemu producenci, administratorzy i narzędzia bezpieczeństwa mówią o tej samej luce. Po numerze CVE można znaleźć opis, poprawkę i ocenę zagrożenia.
Co oznacza ocena CVSS?
CVSS to skala od 0 do 10 opisująca powagę podatności. Wartości od 9,0 uznaje się za krytyczne i wymagają natychmiastowej reakcji, a niższe można planować w harmonogramie aktualizacji.
Jak korzystać z CVE jako webdeveloper?
Sprawdzaj, czy używane biblioteki, CMS i wtyczki mają zgłoszone CVE, i aktualizuj je. Pomagają w tym narzędzia do skanowania zależności i powiadomienia o podatnościach w repozytorium.
Bazę prowadzi organizacja MITRE, a publiczny katalog znajdziesz w National Vulnerability Database. Identyfikator ma postać CVE-rok-numer, a skala CVSS od 0 do 10 opisuje wagę podatności.
Najczęściej opisywanym przykładem podatności aplikacji internetowych jest SQL Injection, a jej wykrywanie i usuwanie w praktyce obejmuje zabezpieczenie aplikacji przed SQL Injection.
Zobacz w praktyce
Jak zabezpieczyć aplikację przed SQL Injection 
Google Tag Manager dla programistów – jak bezpiecznie przesyłać dane ze strony bez psującego się kodu? 
Jak zaciemnić kod JavaScript i kiedy to ma sens