CVE مخفف Common Vulnerabilities and Exposures است و به شناسه‌ای استاندارد برای اشاره به یک آسیب‌پذیری شناخته‌شده اطلاق می‌شود. شناسه‌ای مانند CVE-2024-XXXXX صرفاً نمونه قالب است و معرف آسیب‌پذیری واقعی مشخصی نیست.
| اصطلاح | چیست؟ |
|---|---|
| CVE | شناسه یک آسیب‌پذیری مشخص |
| CWE | دسته یا الگوی ضعف طراحی و کدنویسی |
| CVSS | سامانه امتیازدهی شدت آسیب‌پذیری |
| CPE | شناسه محصول و نسخه برای تطبیق دارایی با گزارش‌ها |
چگونه در پروژه از CVE استفاده کنیم؟
- نسخه دقیق بسته را با Lockfile و SBOM مشخص کنید.
- با ابزار SCA آسیب‌پذیری‌های وابستگی را پیدا کنید.
- نسخه آسیب‌پذیر، شرایط بهره‌برداری و دسترس‌پذیری مسیر را بررسی کنید.
- به‌روزرسانی، کنترل جبرانی یا تعویض بسته را بر اساس ریسک انتخاب کنید.
دقت
داشتن CVE به معنای آسیب‌پذیر بودن همه نصب‌ها نیست. دامنه نسخه‌های متاثر و شرایط پیکربندی باید بررسی شوند.
اصطلاحات مرتبط: فهرست اجزای نرم‌افزار، اسکن وابستگی‌ها.