CVEはあらゆるソフトウェアの脆弱性に公開IDを一つ与え、セキュリティ業界全体がそれを共通語として使っている

1990年代後半、セキュリティツールはそれぞれが同じ脆弱性に独自の名前を付けていたため、あるスキャナーの警告を、ベンダーのアドバイザリや別製品のデータベース項目と関連付けることができなかった。脆弱性に関する情報は、互換性のないラベルごとに散在していた。

MITREのDavid MannとSteven Christeyは、1999年1月にPurdue大学のワークショップで発表したホワイトペーパー「Towards a Common Enumeration of Vulnerabilities」の中で解決策を提案した。ワーキンググループ（後に19名構成のCVE Editorial Boardとなった）が最初の321件のCVEエントリを作成し、このリストは1999年9月に正式に公開された。

これは命名レイヤーの導入であり、コンテンツの独占ではなかった。CVEは深刻度や詳細について意図的に中立を保ち、ベンダー、研究者、ツールがそれぞれ独自の説明を維持しながら、一つの識別子を共有できるようにした。2000年12月までに、29の組織が43製品をCVE互換と宣言した。

採用はさらに広がった。NISTのNational Vulnerability DatabaseはCVEエントリを中心に構築されている。NISTのガイダンスはこの方式を推奨し、OWASP、Symantec、業界報道はCVE IDを引用し、ITU-TはCVEを国際勧告（X.1520）として採用した。命名は脆弱性管理の共通言語となった。

脆弱性一つにつき無料のIDが一つ。それ以外のすべては意見が食い違ってよい

中立的で公開され無料の識別子が合意への障壁を取り除いた。誰も自前のデータベースを手放す必要はなかった。

すべてのベンダーがアドバイザリで同じIDを引用でき、業界に普遍的な相互参照が生まれた。

NISTはCVEの上にNational Vulnerability Databaseを構築し、それが政府と企業のセキュリティの基盤となった。

スキャナーとアドバイザリは、共通のコンテンツ形式を一切持たずに、命名のレベルで相互運用可能になった。

エコシステムがコンテンツについて合意できないなら、共有の命名レイヤーを与えればよい。アイデンティティは標準化するのに最も安価なものであり、相互運用性を解き放つ。

CVEは321件のエントリから10万件以上に成長し、プログラムを代表してIDを割り当てるCVE Numbering Authoritiesの世界的なネットワークを擁するに至った。有名な脆弱性はそのIDで知られている。HeartbleedはCVE-2014-0160であり、この識別子は世界中のアドバイザリ、スキャナー、パッチ、報道に登場する。