Un CVE Root è un livello di gestione nella gerarchia Common Vulnerabilities and Exposures che supervisiona un gruppo di Autorità di Numerazione CVE (CNA). Non individua bug né corregge sistemi. Al contrario, coordina il modo in cui le segnalazioni delle vulnerabilità vengono inoltrate, come vengono assegnati gli identificativi e come i record vengono pubblicati nel proprio ambito.
Questo è importante perché difensori, fornitori e ricercatori si affidano alle voci CVE per parlare la stessa lingua sui difetti. Un Root ben gestito aiuta a prevenire ID duplicati, ritardi e record contrastanti quando molte parti segnalano lo stesso problema. Nelle operazioni di sicurezza del mondo reale, il livello Root agisce dietro le quinte dei flussi di divulgazione: guida la raccolta iniziale, l'escalation e la pubblicazione, così le vulnerabilità urgenti possono essere tracciate rapidamente e in modo coerente. Per gli aggressori, questo processo non ha un potere offensivo diretto, ma per i difensori migliora la visibilità e la velocità di risposta.