Un'Autorità di Numerazione CVE, o CNA, è un'organizzazione autorizzata ad assegnare identificativi CVE e a pubblicare registri ufficiali delle vulnerabilità. Le CNA possono essere fornitori, ricercatori di sicurezza, piattaforme di bug bounty o gruppi di coordinamento. Quando segnalano una falla, associano un ID CVE univoco e di solito forniscono dettagli come le versioni interessate, il contesto di gravità, i riferimenti e talvolta una classificazione della debolezza come CWE.
Le CNA sono importanti perché mantengono le segnalazioni delle vulnerabilità coerenti e leggibili dalle macchine in tutto l'ecosistema della sicurezza. I difensori usano i record CNA per deduplicare gli avvisi, dare priorità alle correzioni e correlare gli avvisi con i risultati degli scanner e le informazioni sulle minacce. Negli attacchi reali, un record CNA appena pubblicato può aiutare i team a riconoscere rapidamente se un exploit pubblico prende di mira un software che utilizzano. Buoni record CNA migliorano la velocità di risposta; record incompleti o vaghi rendono più difficile il triage e possono nascondere debolezze ricorrenti di progettazione o implementazione che dovrebbero essere corrette alla fonte.