OWASP和CWE对应关系

最新推荐文章于 2025-05-18 17:45:13 发布

manok

最新推荐文章于 2025-05-18 17:45:13 发布

阅读量522

点赞数 4

CC 4.0 BY-SA版权

分类专栏： SAST检测规则专栏代码安全供应链安全文章标签：供应链安全 SAST 静态分析静态应用安全测试

本文链接：https://blog.youkuaiyun.com/manok/article/details/144489563

代码安全同时被 3 个专栏收录

83 篇文章

订阅专栏

SAST检测规则专栏

23 篇文章

订阅专栏

供应链安全

13 篇文章

订阅专栏

	top 10名称	英文名称	CWE	TOP 25
A01	失效的访问控制	Broken Access Control	CWE 200 : Exposure of Sensitive Information to an Unauthorized Actor（将敏感信息泄漏给未经授权的参与者）、	CWE top 25
			CWE-201: Exposure of Sensitive Information Through Sent Data（通过发送的数据泄漏敏感信息）
			CWE-352: Cross-Site Request Forgery （跨站请求伪造）
A02	加密机制失效	Cryptographic Failures	CWE-259: Use of Hard-coded Password （使用硬编码密码）
			CWE-327: Broken or Risky Crypto Algorithm（损坏或有风险的加密算法）
			CWE-331 Insufficient Entropy （熵不足）
A03	注入	Injection	CWE-79： Cross-site Scripting（跨站点脚本）	CWE top 25
			CWE-89：SQL Injection（SQL注入）	CWE top 25
			CWE-73：External Control of File Name or Path（文件名或路径的外部控制）
A04	不安全设计	Insecure Design	CWE209：Generation of Error Message Containing Sensitive Information（生成包含敏感信息的错误消息）
			CWE-256：Unprotected Storage of Credentials（凭证的未保护存储）
			CWE-501：Trust Boundary Violation（信任边界冲突）
			CWE-522：Insufficiently Protected Credentials（凭证保护不足）	CWE top 25
A05	安全配置错误	Security Misconfigureation	CWE-16 Configuration（配置）
A05	安全配置错误	Security Misconfigureation	CWE-611Improper Restriction of XML External Entity Reference（XML 外部实体引用的不当限制）	CWE top 25
A06	自带缺陷和过时的组件	Vulnerable and Outdated Components	CWE-1104 Use of Unmaintained Third-Party Components（使用未维护第三方组件）
			2013年
			2017年
A07	身份识别和身份验证错误	Identification and Authentication Failures	CWE-297: Improper Validation of Certificate with Host Mismatch（与不匹配的服务端进行不适当的凭证确认）
			CWE-287: Improper Authentication（不适当的认证）	CWE top 25
			CWE-384: Session Fixation（会话固定攻击）
A08	软件和数据完整性故障	Software and Data Integrity Failures	CWE-829：Inclusion of Functionality from Untrusted Control Sphere（包含来自不受信任控制领域的功能）
			CWE-494：Download of Code Without Integrity Check（不进行完整性检查的代码下载）
			CWE-502：Deserialization of Untrusted Data（不可信数据的反序列化）	CWE top 25
A09	安全日志和监控故障	Security Logging and Monitoring Failures	CWE-117 Improper Output Neutralization for Logs（日志输出不当）
			CWE-223 Omission of Security-relevant Information（安全事件信息漏报）
			CWE-532 Insertion of Sensitive Information into Log File（在日志文件中包含敏感信息）
A10	服务器请求伪造	Server-Side Request Forgery	CWE-918 Server-Side Request Forgery( SSRF）服务端请求伪造	CWE top 25