CWE-122 è la categoria di debolezza di MITRE per i buffer overflow basati sull'heap. Descrive bug in cui un programma scrive oltre la fine della memoria allocata dinamicamente sull'heap. A differenza di un overflow dello stack, questo interessa la memoria gestita in fase di esecuzione, con il rischio di corrompere oggetti adiacenti, mandare in crash un processo o alterare il comportamento del programma in modi imprevedibili.
Nel campo della sicurezza informatica, CWE-122 è importante perché la corruzione dell'heap può talvolta essere trasformata in esecuzione di codice o escalation dei privilegi, soprattutto nei componenti fidati che elaborano input controllati dall'attaccante. I difensori la cercano in parser, gestori di file, driver e funzionalità di sicurezza del sistema. Le mitigazioni comuni includono il controllo dei limiti, una gestione sicura della memoria, il fuzz testing, il rafforzamento del compilatore, gli address sanitizer e, dove praticabile, linguaggi con gestione sicura della memoria. Quando un difetto è classificato come CWE-122, segnala un serio problema di sicurezza della memoria che può minacciare sia la disponibilità sia l'integrità.