Le vulnerabilità concatenate sono due o più difetti che un attaccante combina in modo che un bug crei le condizioni per il successivo. Ad esempio, un errore di routing potrebbe indirizzare una richiesta verso un handler inatteso, e una vulnerabilità SQL injection separata potrebbe poi usare quel percorso per raggiungere dati sensibili o alterare lo stato dell'applicazione. Singolarmente, ogni problema può sembrare limitato; insieme, possono produrre risultati come bypass dell'autenticazione, furto di dati o esecuzione di codice da remoto.
Questo è importante perché i difensori non possono valutare il rischio contando le CVE una per una. Un bug a bassa gravità può diventare critico quando si collega a un'altra debolezza nel codice principale, nelle API, nei plugin o nei servizi di rete. In pratica, gli attaccanti cercano percorsi di attacco che trasformino un piccolo errore di validazione dell'input o di routing in una catena di exploit pre-auth, mentre i difensori interrompono tali percorsi applicando patch a ogni anello, verificando le versioni esatte del software, esaminando i log alla ricerca di sequenze di richieste anomale e irrobustendo l'interfaccia esposta che collega i difetti.