リストの構造は、トップ25のバグを除去、あるいはその危険度を軽減するための「ミティゲーション」と、「一般的なセキュア・プログラミング基準」とを別の章にわけていることが去年よりも使い勝手をあげている。。ミティゲーションの章では、「モンスター・ミティゲーション」という、トップ25のバグを完全に除去する際に手助けとなる方法がひとまとめになっており、デベロッパーにとってはありがたいだろう。 また、セキュリティー初心者プログラマー、セキュリティ・プロのプログラマー、ソフトウェア・プロジェクト・マネージャー、ソフトウェア・テスター、ソフトウェアの顧客などユーザ別に、このリストをどのように使えばいいかも記されている。 トップ25のバグは以下。 RankScoreIDName [1]346CWE-79 Failure to Preserve Web Page Structure ('Cross-site Scripting') [2]330CWE-89 Improper Sanitization of Special Elements used in an SQL Command ('SQL Injection') [3]273CWE-120 Buffer Copy without Checking Size of Input ('Classic Buffer Overflow') [4]261CWE-352 Cross-Site Request Forgery (CSRF) [5]219CWE-285 Improper Access Control (Authorization) [6]202CWE-807 Reliance on Untrusted Inputs in a Security Decision [7]197CWE-22 Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') [8]194CWE-434 Unrestricted Upload of File with Dangerous Type [9]188CWE-78 Improper Sanitization of Special Elements used in an OS Command ('OS Command Injection') [10]188CWE-311 Missing Encryption of Sensitive Data [11]176CWE-798 Use of Hard-coded Credentials [12]158CWE-805 Buffer Access with Incorrect Length Value [13]157CWE-98 Improper Control of Filename for Include/Require Statement in PHP Program ('PHP File Inclusion') [14]156CWE-129 Improper Validation of Array Index [15]155CWE-754 Improper Check for Unusual or Exceptional Conditions [16]154CWE-209 Information Exposure Through an Error Message [17]154CWE-190 Integer Overflow or Wraparound [18]153CWE-131 Incorrect Calculation of Buffer Size [19]147CWE-306 Missing Authentication for Critical Function [20]146CWE-494 Download of Code Without Integrity Check [21]145CWE-732 Incorrect Permission Assignment for Critical Resource [22]145CWE-770 Allocation of Resources Without Limits or Throttling [23]142CWE-601 URL Redirection to Untrusted Site ('Open Redirect') [24]141CWE-327 Use of a Broken or Risky Cryptographic Algorithm [25]138CWE-362 Race Condition
