CVE (Common Vulnerabilities and Exposures) це система публічних ідентифікаторів для відомих вразливостей. Кожна отримує унікальний номер формату CVE-рік-номер, наприклад CVE-2021-44228. Це дає спільну мову: усі знають, що йдеться про одну й ту саму конкретну проблему, а не про щось схоже.
Навіщо це
Без спільного ідентифікатора важко зрозуміти, чи два джерела говорять про ту саму вразливість. Номер CVE це усуває. За ним ви знаходите офіційний опис, які версії продукту зачеплені, оцінку CVSS і статус виправлення.
Де перевіряти
Реальність CVE легко перевірити в NVD (National Vulnerability Database) за номером. Якщо джерело пише про «критичну вразливість», але не називає номер CVE, це привід засумніватись. Красива назва без номера часто ознака роздутої або вигаданої загрози.
Приклад
По цьому номеру будь-хто дістане однаковий офіційний опис вразливості в бібліотеці Log4j.