CWE 2023 年 25 个最危险软件弱点报告
此报告显示的是可在您的站点上找到的常见弱点枚举 (CWE™) 最危险的 25 个软件弱点。CWE Top 25 报告是一项宝贵的社区资源，可帮助开发者、测试人员和用户（以及项目经理、安全团队和团队）洞察当前最严重的安全漏洞。
它为什么重要
CWE 最危险的 25 个软件弱点报告列出了可能导致严重软件漏洞的最严重的编程错误。这些弱点十分危险，因为它们通常很容易被发现、利用，并可能使攻击者完全控制系统、窃取数据或阻止应用程序运行。| 排名 | ID | 名称 |
|---|---|---|
| 1 | CWE-787 | 越界写入 |
| 2 | CWE-79 | 对 Web 页面生成期间的输入的清理不当（“跨站点脚本编制”） |
| 3 | CWE-89 | 对 SQL 命令中使用的特殊元素清理不当（“SQL 注入”） |
| 4 | CWE-416 | 释放后再使用 |
| 5 | CWE-78 | 对操作系统命令中使用的特殊元素清理不当（“操作系统命令注入”） |
| 6 | CWE-20 | 输入验证不当 |
| 7 | CWE-125 | 越界读取 |
| 8 | CWE-22 | 不当地将路径名限制为受限目录（“路径遍历”） |
| 9 | CWE-352 | 跨站点请求伪造 (CSRF) |
| 10 | CWE-434 | 未限制上载危险类型文件 |
| 11 | CWE-862 | 缺少授权 |
| 12 | CWE-476 | 空指针取消引用 |
| 13 | CWE-287 | 认证不当 |
| 14 | CWE-190 | 整数溢出或回绕 |
| 15 | CWE-502 | 反序列化不可信数据 |
| 16 | CWE-77 | 对命令中使用的特殊元素中和不当（“命令注入”） |
| 17 | CWE-119 | 没能将内存操作限制在边界范围内 |
| 18 | CWE-798 | 使用硬编码凭证 |
| 19 | CWE-918 | 服务器端请求伪造 (SSRF) |
| 20 | CWE-306 | 关键功能缺少认证 |
| 21 | CWE-362 | 使用共享资源并发执行且同步不正确（“竞争条件”） |
| 22 | CWE-269 | 权限管理不当 |
| 23 | CWE-94 | 代码生成控制不当（“代码注入”） |
| 24 | CWE-863 | 授权不正确 |
| 25 | CWE-276 | 缺省权限不正确 |