Una CNA, o CVE Numbering Authority, è un'organizzazione autorizzata ad assegnare identificatori CVE e pubblicare record di vulnerabilità per difetti software e hardware rientranti nel proprio ambito. Le CNA fanno parte dell'ecosistema CVE che offre ai difensori un modo condiviso per riferirsi alla stessa debolezza, anche quando sono coinvolti molti fornitori, ricercatori e team di risposta.
Le CNA sono importanti perché la divulgazione delle vulnerabilità dipende da un coordinamento accurato e tempestivo. In pratica, una CNA può ricevere la segnalazione di un ricercatore, convalidare il problema, riservare un ID CVE e pubblicare il record in modo che patching, triage e threat intelligence possano allinearsi su un'unica referenza. Un coordinamento CNA scadente può portare a ID duplicati, divulgazione ritardata o record incoerenti, rallentando i difensori e aiutando gli aggressori a sfruttare la confusione. Nella risposta agli incidenti moderna, i processi CNA fanno parte del livello di sicurezza operativa che mantiene organizzato il traffico delle vulnerabilità.