Identyfikator CVE pozwala dostawcom, badaczom, bazom danych, narzędziom i obrońcom odwoływać się do tego samego ujawnionego zagadnienia bez polegania na nazwach specyficznych dla produktu. Identyfikuje podatność; nie przypisuje wagi, nie potwierdza wykorzystania ani nie zaleca naprawy.
Autoryzowane jednostki numerujące CVE (CVE Numbering Authorities, CNA) rezerwują identyfikatory, ustalają, czy zagadnienia spełniają zasady programu w ich zakresie, i publikują rekordy na liście CVE. Rekordy mogą być aktualizowane wraz z poprawą opisów, informacji o dotkniętych produktach, odnośników i innych danych.
Najważniejsze punkty
Format identyfikatoraIdentyfikator CVE łączy przedrostek „CVE", rok i numer sekwencyjny; rok jest częścią identyfikatora i nie wskazuje wiarygodnie, kiedy nastąpiło odkrycie, wykorzystanie lub naprawa.
Cel rekorduRekord CVE dostarcza wspólną tożsamość i podstawowe dane opisowe, by komunikaty, bazy danych, inwentarze i narzędzia bezpieczeństwa mogły wymieniać informacje o tej samej ujawnionej podatności.
Przepływ pracy odbiorcyPotwierdź dotknięty produkt i wersję względem autorytatywnych komunikatów, a następnie połącz rekord z kontekstem wdrożenia, wagą, dowodami wykorzystania i wskazówkami naprawczymi.
Istotne ograniczenieNie każda usterka bezpieczeństwa otrzymuje identyfikator CVE, a obecność, brak, wiek czy kolejność identyfikatora nie przesądza o wadze, wykorzystywalności, jakości ujawnienia, dostępności poprawki ani ryzyku organizacyjnym.