CVE 為每個軟體缺陷賦予一個公開 ID，整個資安產業都以它溝通

1990 年代末期，各家安全工具對同一個缺陷各有自己的名稱，因此某個掃描器發出的警示無法與廠商的公告或另一項產品的資料庫條目相互對應。關於某個漏洞的資訊散落在彼此不相容的標籤之下。

MITRE 的 David Mann 與 Steven Christey 在一份白皮書中提出解決方案，該白皮書名為《Towards a Common Enumeration of Vulnerabilities》，於 1999 年 1 月在 Purdue 的一場工作坊上發表。一個工作小組——後來成為由 19 名成員組成的 CVE 編輯委員會——建立了最初的 321 筆 CVE 條目，該清單於 1999 年 9 月正式推出。

此舉是一層命名機制，而非內容壟斷：CVE 刻意對嚴重程度與細節保持中立，讓廠商、研究人員與工具保留各自的描述，同時共用同一個識別碼。到了 2000 年 12 月，已有 29 個組織宣告 43 項產品與 CVE 相容。

採用情況持續累積。NIST 的國家漏洞資料庫（National Vulnerability Database）便是圍繞 CVE 條目建構；NIST 的指引建議採用此方案；OWASP、Symantec 與業界媒體都會引用 CVE ID，而 ITU-T 也將 CVE 採納為國際建議標準（X.1520）。命名成了漏洞管理的共同語言。

每個缺陷一個免費 ID；其餘一切都可以有分歧

一個中立、公開、免費的識別碼移除了達成共識的障礙——沒有人必須放棄自己的資料庫。

每家廠商都能在公告中引用同一個 ID，為產業提供了通用的交叉參照。

NIST 以 CVE 為基礎建構國家漏洞資料庫，使其成為政府與企業安全的骨幹。

掃描器與公告在命名層面上得以互通，而無需任何共用的內容格式。

如果生態系無法就內容達成共識，就給它一個共用的命名層——身分識別是最便宜的標準化項目，且能解鎖互通性。

CVE 從 321 筆條目成長到超過 100,000 筆，並擁有全球性的 CVE 編號機構（CVE Numbering Authorities）網絡，代表該計畫指派 ID。著名的缺陷以其 ID 為人所知——Heartbleed 即 CVE-2014-0160——而這個識別碼出現在世界各地的公告、掃描器、修補程式與新聞報導中。