CWE-540 è la categoria di debolezza per l'inclusione di informazioni sensibili nel codice sorgente. Riguarda segreti o dettagli che abilitano la fiducia e che vengono incorporati direttamente in un'applicazione, come chiavi API, credenziali, endpoint interni, token o logiche che dovrebbero rimanere private. Poiché il codice distribuito può spesso essere decompilato, copiato o ispezionato, qualsiasi elemento inserito nel client dovrebbe essere considerato recuperabile.
Questo è importante nella sicurezza informatica perché le informazioni esposte possono diventare una scorciatoia per aggirare le normali difese. Gli attaccanti possono fare il reverse engineering di un'app per scoprire servizi nascosti, riutilizzare identificatori trapelati o chiamare funzioni backend che avrebbero dovuto essere protette. I difensori riducono il rischio rimuovendo i segreti dal codice client, imponendo autenticazione e autorizzazione per ogni richiesta lato server, ruotando le credenziali esposte e monitorando schemi di accesso insoliti. CWE-540 è particolarmente importante nei prodotti mobili e embedded, dove il codice client può trovarsi vicino a servizi di alto valore o a controlli fisici.