MITRE 发布的 2025 CWE Top 25 最危险软件榜单，是基于大量公开漏洞信息分析得出的结果，反映了当前网络安全威胁环境中最具代表性的高风险软件弱点类型。该榜单用于帮助安全团队识别攻击者最可能利用的底层缺陷，从而指导漏洞治理、代码审计和安全测试工作。

在今年的榜单中，跨站脚本（XSS）漏洞依然位居首位，并且相比上一年度排名进一步上升；紧随其后的是 SQL 注入 和 跨站请求伪造（CSRF），这两类漏洞在 2025 年榜单中的排名也均有所提升。

与此同时，“缺失授权（Missing Authorization）”这一弱点在本年度榜单中上升了 5 个名次，当前排名第四；而“越界写（Out-of-bounds Write）”则下降至第五位。榜单前十名还包括路径遍历、使用后释放、越界读、操作系统命令注入以及代码注入等常见且高危的软件弱点类型。

2025 年的 CWE Top 25 榜单中，共有 6 类弱点为首次入榜。这些弱点在以往榜单中并未出现，但在最新的漏洞统计中表现突出，风险显著上升，值得安全团队重点关注：

1.经典缓冲区溢出（Classic Buffer Overflow）

2.基于栈的缓冲区溢出（Stack-based Buffer Overflow）

3.基于堆的缓冲区溢出（Heap-based Buffer Overflow）

4.访问控制不当（Improper Access Control）

5.通过用户可控密钥绕过授权（Authorization Bypass Through User-Controlled Key）

6.资源分配缺乏限制或节流机制（Allocation of Resources Without Limits or Throttling）

这些新增弱点表明，攻击者正在持续利用传统内存管理错误以及访问控制设计缺陷作为突破口，也凸显出在现代软件开发中，内存安全与权限边界设计仍是不可忽视的基础安全问题。

与此同时，一些在 2024 年榜单中出现的弱点在 2025 年跌出 Top 25，例如不当权限管理、整数溢出、不当身份认证、资源耗尽、硬编码凭据使用，以及对内存缓冲区边界限制不当等。这一变化部分源于 MITRE 对弱点分类和评分方法的调整。

从实践角度来看，2025 年 CWE Top 25 榜单具有明确的指导价值：

• 提升漏洞减少能力：通过聚焦最常见、最具破坏力的弱点根源，开发团队可以在设计和编码阶段主动规避高风险缺陷。

• 降低整体安全成本：在软件早期阶段修复弱点，能够显著减少产品上线后的补救成本和应急响应压力。

• 增强用户与合作伙伴信任：主动识别并修复高危弱点，有助于提升组织在客户和生态伙伴中的安全信誉。

• 支持供应商与产品评估：在选择第三方软件或安全产品时，可将 Top 25 作为评估基准，判断其安全成熟度。

相关机构建议，软件开发组织应将 CWE Top 25 纳入安全开发生命周期（SDLC），并在漏洞管理和应用安全测试策略中长期参考该榜单。

从 2025 年榜单整体情况来看，可以总结出几项明显趋势：

• 注入类弱点依旧占据核心位置跨站脚本和 SQL 注入继续位居前列，说明输入校验和数据处理仍是软件安全最薄弱的环节之一。

• 授权与访问控制问题持续凸显“缺失授权”和“访问控制不当”等弱点排名明显上升，反映出在 API、微服务和复杂系统架构中，权限校验仍然容易被忽视或实现不当。

• 内存安全问题重新受到高度关注三类缓冲区溢出弱点重新进入 Top 25，表明在底层代码、系统软件和高性能应用中，内存边界保护依然是攻击者的重要突破口。

• 资源管理与节流机制不足带来新风险“资源无限制分配”成为新上榜弱点，揭示在云化和弹性资源环境中，缺乏合理限制机制可能被恶意滥用。

整体来看，尽管软件架构和安全工具不断演进，但基础安全缺陷仍然是漏洞被大规模利用的主要根源。

结合 MITRE 及相关机构的建议，组织在应对 Top 25 弱点时，可重点从以下方面入手：

• 在开发阶段贯彻 “安全设计优先（Secure by Design）” 理念，避免将常见弱点带入系统架构中。

• 将 CWE Top 25 纳入 静态与动态应用安全测试，并持续优化安全扫描规则。

• 在软件供应链和第三方组件评估中，以 Top 25 作为基础安全参考标准。

• 定期复盘组织内部的漏洞数据，分析是否存在与 Top 25 高度重合的弱点类型，并据此改进开发规范。