Un componente vulnerabile è un elemento software, come una libreria, un SDK, un framework o un pacchetto, che presenta una debolezza nota. La debolezza può essere un bug, una versione obsoleta, una configurazione non sicura o un difetto in una dipendenza nidificata. Anche se l'applicazione principale sembra sicura, un componente vulnerabile può comunque esporla a compromissioni.
Nella sicurezza informatica, i componenti vulnerabili sono importanti perché gli aggressori spesso prendono di mira il punto di ingresso più facile nella supply chain del software. Un singolo pacchetto esposto può consentire l'esecuzione di codice, il furto di dati, il denial of service o l'escalation dei privilegi in molte applicazioni che lo riutilizzano. I difensori cercano questi componenti tramite inventari software, SBOM, scansioni delle dipendenze e gestione delle patch, così possono identificare dove viene usato il codice rischioso, dare priorità alle correzioni ed eliminarlo o aggiornarlo prima che venga sfruttato.