Common Weakness Enumeration (CWE) è una tassonomia standardizzata per le cause alla radice delle debolezze del software. Anziché etichettare un difetto solo come una vulnerabilità specifica, CWE lo raggruppa in base al problema di codifica o di progettazione sottostante, come la convalida impropria dell'input, l'autenticazione debole o la gestione non sicura della memoria. Questo aiuta i team di sicurezza a parlare la stessa lingua quando esaminano i risultati provenienti da scanner, audit del codice e test di penetrazione.
CWE è importante perché le classi di debolezza ricorrenti sono spesso ciò che gli aggressori sfruttano su larga scala. Un singolo bug può essere corretto, ma se la causa alla radice rimane, lo stesso schema può ripresentarsi nelle release successive o in altri prodotti. I difensori usano CWE per dare priorità alle correzioni, monitorare le tendenze, migliorare le linee guida per la codifica sicura e misurare se un processo di sviluppo stia riducendo intere categorie di rischio anziché chiudere solo singoli ticket.