CWE ID किसी Bug के बारे में क्या बताता है

Common Weakness Enumeration (CWE) software weakness के प्रकारों का एक सार्वजनिक catalog है, जिसे MITRE maintain करता है। जब कोई रिपोर्ट किसी finding को CWE-89 लेबल करती है, तो टीम में हर किसी को ठीक-ठीक पता होता है कि यह किस तरह का bug है: SQL injection।

ID क्यों मायने रखता है

• यह सटीक है: CWE-79 (cross-site scripting) और CWE-601 (open redirect) दोनों web bugs हैं, लेकिन दोनों के fixes अलग हैं।
• यह ट्रैक करने योग्य है: समय के साथ findings को CWE के हिसाब से गिनने से पता चलता है कि कोई bug class वाकई ख़त्म हो रही है या नहीं।
• यह guidance से जुड़ा है: हर CWE entry उदाहरणों, detection methods और mitigations से लिंक करती है।

CWE, severity नहीं है

CWE weakness के प्रकार का वर्णन करता है, यह नहीं कि यह विशेष instance कितना गंभीर है। Admin-only script में SQL injection और public search endpoint में SQL injection, दोनों का CWE-89 होता है, लेकिन जोखिम बहुत अलग होता है। इसीलिए CodeAuditAgent की हर finding में CWE और असली exploitability पर आधारित severity, दोनों होते हैं।

सबसे ज़्यादा दिखने वाले IDs

• CWE-89: SQL injection
• CWE-79: cross-site scripting
• CWE-639: user-controlled key के ज़रिए authorization bypass
• CWE-798: hardcoded credentials का इस्तेमाल
• CWE-918: server-side request forgery