108 CWE
| CWE | 名称 | 规则数 |
|---|---|---|
| CWE-14 | 编译期缓冲区清零检查被移除 | 1 |
| CWE-20 | 输入校验不当 | 3 |
| CWE-22 | 路径穿越 | 15 |
| CWE-23 | 相对路径遍历 | 1 |
| CWE-73 | 外部可控的文件名或路径 | 5 |
| CWE-74 | 下游组件输出注入 | 2 |
| CWE-78 | OS 命令注入 | 43 |
| CWE-79 | 跨站脚本（XSS） | 77 |
| CWE-80 | 基础型跨站脚本（XSS） | 1 |
| CWE-89 | SQL 注入 | 62 |
| CWE-90 | LDAP 注入 | 4 |
| CWE-91 | XML 注入 | 1 |
| CWE-93 | 日志输出注入 | 2 |
| CWE-94 | 代码注入 | 29 |
| CWE-95 | Eval 注入 | 30 |
| CWE-96 | 不安全的动态代码求值/包含 | 6 |
| CWE-98 | 远程文件包含 | 3 |
| CWE-113 | HTTP 响应拆分 | 1 |
| CWE-115 | 输入被误解为其他语义 | 1 |
| CWE-116 | 输出编码或转义不当 | 5 |
| CWE-117 | 日志注入 | 1 |
| CWE-119 | 内存缓冲区越界 | 1 |
| CWE-134 | 格式化字符串注入 | 3 |
| CWE-155 | 通配符未中和 | 1 |
| CWE-183 | 允许列表过于宽松 | 2 |
| CWE-190 | 整数溢出或回绕 | 1 |
| CWE-200 | 信息泄露 | 5 |
| CWE-209 | 错误信息中的信息泄露 | 1 |
| CWE-242 | 使用已弃用的代码 | 2 |
| CWE-250 | 以不必要的特权执行 | 2 |
| CWE-252 | 未检查返回值 | 1 |
| CWE-269 | 权限管理不当 | 4 |
| CWE-272 | 违反最小权限原则 | 1 |
| CWE-276 | 默认权限配置错误 | 2 |
| CWE-284 | 访问控制不当 | 1 |
| CWE-285 | 授权不当 | 2 |
| CWE-287 | 认证不当 | 4 |
| CWE-289 | 认证绕过（直接采信认证结果） | 1 |
| CWE-295 | 证书校验不当 | 9 |
| CWE-297 | TLS 主机名校验不当 | 1 |
| CWE-300 | 中间人攻击（通道未认证） | 2 |
| CWE-307 | 缺少尝试次数限制 | 1 |
| CWE-310 | 密码学问题 | 3 |
| CWE-311 | 缺失加密 | 2 |
| CWE-319 | 明文传输敏感信息 | 28 |
| CWE-322 | 密钥交换未认证 | 2 |
| CWE-323 | 重用 Nonce 或密钥对 | 2 |
| CWE-326 | 加密强度不足 | 11 |
| CWE-327 | 使用被破解或有风险的哈希算法 | 44 |
| CWE-328 | 可逆的单向哈希 | 7 |
| CWE-329 | CBC 模式未随机化 IV | 2 |
| CWE-330 | 使用随机性不足的值 | 2 |
| CWE-338 | 弱随机数（安全用途） | 4 |
| CWE-345 | 数据真实性校验不足 | 6 |
| CWE-346 | 来源校验错误 | 4 |
| CWE-347 | 密码签名验证不当 | 2 |
| CWE-352 | 跨站请求伪造（CSRF） | 14 |
| CWE-377 | 不安全的临时文件 | 1 |
| CWE-400 | 未限制资源消耗 | 3 |
| CWE-415 | 重复释放内存 | 1 |
| CWE-416 | 释放后使用（UAF） | 2 |
| CWE-436 | 解释冲突 | 1 |
| CWE-451 | 关键信息界面呈现失真 | 1 |
| CWE-454 | 信任外部注入的初始化值 | 1 |
| CWE-470 | 不安全的文件包含 | 3 |
| CWE-477 | 使用已弃用的函数 | 1 |
| CWE-489 | 调试信息残留 | 7 |
| CWE-501 | 信任边界违反 | 1 |
| CWE-502 | 不安全的反序列化 | 26 |
| CWE-521 | 弱密码策略 | 3 |
| CWE-522 | 凭证保护不足 | 13 |
| CWE-523 | 明文存储凭据 | 1 |
| CWE-532 | 凭据写入日志或文件 | 2 |
| CWE-538 | 敏感信息写入外部可读文件 | 1 |
| CWE-548 | 目录列表暴露 | 3 |
| CWE-553 | 外部可访问目录中的命令 shell | 1 |
| CWE-601 | 开放重定向 | 14 |
| CWE-611 | XXE（XML 外部实体注入） | 23 |
| CWE-613 | 会话过期设置不足 | 1 |
| CWE-614 | 敏感 Cookie 未设置 Secure 属性 | 10 |
| CWE-643 | XPath 注入 | 2 |
| CWE-668 | 资源暴露给错误作用域 | 2 |
| CWE-676 | 使用潜在危险函数 | 6 |
| CWE-697 | 等价比较不当 | 1 |
| CWE-704 | 类型转换不当 | 2 |
| CWE-706 | 使用被操控的变量名 | 3 |
| CWE-774 | 不限制内存分配大小 | 1 |
| CWE-776 | XML 实体展开 | 1 |
| CWE-780 | RSA 未使用 OAEP 填充 | 1 |
| CWE-798 | 硬编码凭据 | 10 |
| CWE-807 | 安全决策依赖不可信输入 | 4 |
| CWE-862 | 缺失授权 | 1 |
| CWE-913 | 授权控制设计不当 | 2 |
| CWE-915 | 批量赋值（Mass Assignment） | 7 |
| CWE-916 | 口令哈希计算强度不足 | 1 |
| CWE-918 | SSRF（服务端请求伪造） | 29 |
| CWE-921 | 敏感数据存储于无访问控制的介质 | 1 |
| CWE-922 | 敏感信息存储不安全 | 2 |
| CWE-939 | 自定义 URL Scheme 授权不当 | 1 |
| CWE-942 | 跨域策略过于宽松 | 2 |
| CWE-943 | 数据查询逻辑使用不可信输入 | 3 |
| CWE-1004 | 敏感 Cookie 未设置 HttpOnly | 9 |
| CWE-1104 | 使用无人维护的第三方组件 | 1 |
| CWE-1204 | 未配置 HSTS | 1 |
| CWE-1236 | CSV 公式注入 | 2 |
| CWE-1275 | 敏感 Cookie 未标记 Sensitive | 5 |
| CWE-1333 | 正则表达式复杂度过高（ReDoS） | 3 |
| CWE-1336 | 服务端模板注入（SSTI） | 2 |