OWASP TOP 10 2021 对应的CWE缺陷（官方）

在OWASP TOP 10 2021年发布TOP 10中，比较好的给出了每类漏洞类型对应的CWE编号，这对于开发应用安全的厂商来说无疑是一件好事。 不过大家应该也可以看到，A1-A10都是给出了几种CWE，但是官方并没有给出比较全面的的对应关系，前面我的文档中有分析并给出来了，大家可以去参考。

ID	中文名称	英文名称	CWE	TOP 25
A01	失效的访问控制	Broken Access  Control	CWE 200 : Exposure of Sensitive Information to an Unauthorized Actor（将敏感信息泄漏给未经授权的参与者）、	CWE top 25
			CWE-201: Exposure of Sensitive Information Through Sent Data（通过发送的数据泄漏敏感信息）
			CWE-352: Cross-Site Request Forgery （跨站请求伪造）
A02	加密机制失效	Cryptographic Failures	CWE-259: Use of Hard-coded Password （使用硬编码密码）
			CWE-327: Broken or Risky Crypto Algorithm（损坏或有风险的加密算法）
			CWE-331 Insufficient Entropy （熵不足）
A03	注入	Injection	CWE-79： Cross-site Scripting（跨站点脚本）	CWE top 25
			CWE-89：SQL Injection（SQL注入）	CWE top 25
			CWE-73：External Control of File Name or Path（文件名或路径的外部控制）
A04	不安全设计	Insecure Design	CWE209：Generation of Error Message Containing Sensitive Information（生成包含敏感信息的错误消息）
			CWE-256：Unprotected Storage of Credentials（凭证的未保护存储）
			CWE-501：Trust Boundary Violation（信任边界冲突）
			CWE-522：Insufficiently Protected Credentials（凭证保护不足）	CWE top 25
A05	安全配置错误	Security Misconfigureation	CWE-16 Configuration（配置）
			CWE-611Improper Restriction of XML External Entity Reference（XML 外部实体引用的不当限制）	CWE top 25
A06	自带缺陷和过时的组件	Vulnerable and Outdated Components	CWE-1104 Use of Unmaintained Third-Party Components（使用未维护第三方组件）
			2013年
			2017年
A07	身份识别和身份验证错误	Identification and Authentication Failures	CWE-297: Improper Validation of Certificate with Host Mismatch（与不匹配 的服务端进行不适当的凭证确认）
			CWE-287: Improper Authentication（不适当的认证）	CWE top 25
			CWE-384: Session Fixation（会话固定攻击）
A08	软件和数据完整性故障	Software and Data Integrity Failures	CWE-829：Inclusion of Functionality from Untrusted Control Sphere（包含来自不受信任控制领域的功能）
			CWE-494：Download of Code Without Integrity Check（不进行完整性检查的代码下载）
			CWE-502：Deserialization of Untrusted Data（不可信数据的反序列化）	CWE top 25
A09	安全日志和监控故障	Security Logging and Monitoring Failures	CWE-117 Improper Output Neutralization for Logs（日志输出不当）
			CWE-223 Omission of Security-relevant Information（安全事件信息漏报）
			CWE-532 Insertion of Sensitive Information into Log File（在日志文件中包含敏感信息）
A10	服务器请求伪造	Server-Side Request Forgery	CWE-918 Server-Side Request Forgery( SSRF） 服务端请求伪造	CWE top 25

（结束）