脆弱性情報データベース
報告が行なわれると、その情報にはCAN番号(CAN-西暦年-4桁以上の通番)という番号が割り当てられる。その後、報告された脆弱性情報のCVE Editorial Boardによる評価が終わった後、CVE番号(CVE-西暦年-4桁以上の通番)となる。評価の結果、複数のCAN番号が同一の脆弱性を示しているなら同じCVE番号が割り当てられることとなり、逆に、1つのCAN番号に複数の脆弱性が盛り込まれている場合は複数のCVE番号が割り当てられることとなる。
なお、2013年までのCVE番号は、「CVE-西暦年-4桁通番」の形式で振られていたが、報告される脆弱性が増加し、年間で1万件を超えて4桁では足りなくなることが確実となったことから、2014年1月1日からは、通番部分が4桁以上と改定された。
脆弱性情報データベースの登場には「セキュリティ脆弱性のデータベースについての研究ワークショップ」が絡んでいる。第1回は1996年に開催されているが、それから3年後の1999年、1月22日 - 1月24日にパデュー大学の情報保証教育研究センター(Center for Education and Research in Information Assurance、通称CERIAS)で第2回が開催された時点においても、このような脆弱性情報データベースは存在していなかった。しかし、この第2回の開催において、アメリカ政府の支援を受けた非営利団体MITRE社によって脆弱性情報データベースの具体的な構築に向けての提案が行なわれ、その場で具体的な検討が行なわれたことをきっかけに、CVEが作成されることとなった。その後も、様々な形や言語で多種の脆弱性情報データベースが登場しており、それらの情報は相互参照可能なものとなっている。