Il CWE Top 25 è l'elenco annuale di MITRE dei tipi di debolezza software più comuni e pericolosi. CWE sta per Common Weakness Enumeration, un catalogo di classi di bug come SQL injection, cross-site scripting, buffer overflow, autenticazione debole e convalida dell'input impropria. A differenza di una CVE, che identifica una vulnerabilità specifica in un prodotto, una CWE descrive il modello di difetto sottostante che può comparire in molte codebase.
È importante perché gli attaccanti spesso riutilizzano le stesse classi di debolezza su larga scala. Se un'app web accetta input non sicuri, espone codice non sicuro per la memoria o non controlla correttamente l'accesso, lo stesso errore di progettazione può creare molti percorsi sfruttabili. I difensori usano il Top 25 per dare priorità a regole di coding sicuro, code review, test e formazione sulla correzione. È particolarmente utile per la prevenzione: query parametrizzate, codifica dell'output, convalida rigorosa, principio del privilegio minimo e linguaggi sicuri per la memoria riducono direttamente le famiglie di debolezze che hanno più probabilità di portare a violazioni reali.