CWE: bundel van MITRE CWE 4.20 naar 5.0 #2653

Merged

brenno merged 2 commits from claude/serene-hugle-98bb04 into main

2026-10-29 01:05:41 +00:00

brenno commented

2026-10-29 00:30:57 +00:00

Owner

MITRE bracht op 28-10-2026 CWE 5.0 uit; daardoor faalde make deps-check (en dus check-full) voor elke tak. Deze PR werkt de bundel bij.

Wat er verandert

Bundel assets/cwe/cwe_full.json opnieuw gegenereerd: 984 zwakheden. Dat zijn er 15 nieuw (1461–1476, waaronder de nieuwe sessiefamilie 1462–1467), en er is er geen enkele verdwenen. CSV-kolommen zijn gelijk gebleven. Het XML-schema ging van v7 naar v8 (cwe-8), maar de probe leest dat zonder aanpassing.
Structuurwijziging die het zoeken raakte: CWE 5.0 haalde de gangbare namen uit 53 titels (('SQL Injection'), ('Path Traversal'), ('Race Condition'), …) en houdt ze alleen nog bij de Alternate Terms. tool/build_cwe_catalog.dart neemt die termen nu als aliases mee (129 entries), en CweEntry.searchText doorzoekt ze. In beeld komen ze niet. Zonder deze stap vond "race condition", "command injection" of "buffer overflow" in de CWE-kiezer niets meer.
Handgekozen kern (cwe_catalog.dart): tien namen volgen nu de 5.0-titels, en de kern draagt dezelfde aliassen als het asset (22 entries). CWE-613 is in 5.0 vervallen ("Consider CWE-1462 and its descendants"), en de kern-entry dekte twee dingen. Hij is daarom vervangen door CWE-1463 (Insufficient Session Timeout Value) en CWE-1464 (Improper Session Invalidation), elk met een eigen omschrijving en remediatie. De kern telt nu 41 entries. De sjablonen citeerden 89/79/521 al in de korte vorm, dus daar verandert niets.
Nieuwe toets: de kern wordt naast het echte asset gelegd (naam, aliassen, niet DEPRECATED). De kern wint per id, dus een verouderde kern-naam verbergt de actuele MITRE-naam stil. Bij de volgende CWE-bump faalt deze toets daarop. Hij werd rood vóór de aliassen compleet waren (CWE-434).
Poort telde dubbel: de melding "2 standaard(en) verouderd" ging om één standaard. CWE telde voor de versie en nog eens voor de integriteitsbevinding (bundel te kort). Nu telt elke standaard één keer. Regressietest in check_reference_data_tool_test.dart, rood bewezen tegen de oude regel (2 ≠ 1).
Versie 5.0 in reference_standards.dart, licentietabel (984, alternate terms, kern 41), PENTEST_MIAUW.md-tellingen en CHANGELOG bijgewerkt.

Licentie

De MITRE Terms of Use (https://cwe.mitre.org/about/termsofuse.html) zijn op 29-10-2026 nagelezen en inhoudelijk ongewijzigd: een niet-exclusieve, royaltyvrije licentie, op voorwaarde dat het copyright van MITRE wordt meegenomen. De attributiekop in het asset blijft dus gelijk. Alleen het _comment noemt nu ook de alternate terms als MITRE-inhoud.

Poort

make deps-check groen op e068938ad: MITRE CWE 5.0 → 5.0 actueel.
make check groen op e068938ad.
Bewaker bewust overgeslagen: de PR raakt geen bestandsformaat, geen opslag, geen afhankelijkheid, geen uitgaand verkeer en geen nieuwe belofte. Het gaat alleen om een bijgewerkte bundel en de feitenrij in de licentietabel.

Buiten deze PR

ISO 9001 meldt nu "2015 → 2026 nieuwer beschikbaar". Dat is adviserend en laat de poort niet vallen. Een nieuwe editie betekent een inhoudelijke migratie van de clausule-index; dat moet eerst op iso.org bevestigd worden.
MASWE-0024 (gegenereerd uit upstream MASWE) koppelt nog aan CWE-613. Dat is upstream-data en past zich aan bij de volgende MASWE-release.

🤖 Generated with Claude Code

MITRE bracht op 28-10-2026 CWE 5.0 uit; daardoor faalde `make deps-check` (en dus `check-full`) voor elke tak. Deze PR werkt de bundel bij. ## Wat er verandert - **Bundel `assets/cwe/cwe_full.json` opnieuw gegenereerd**: 984 zwakheden. Dat zijn er 15 nieuw (1461–1476, waaronder de nieuwe sessiefamilie 1462–1467), en er is er geen enkele verdwenen. CSV-kolommen zijn gelijk gebleven. Het XML-schema ging van v7 naar v8 (`cwe-8`), maar de probe leest dat zonder aanpassing. - **Structuurwijziging die het zoeken raakte**: CWE 5.0 haalde de gangbare namen uit 53 titels (`('SQL Injection')`, `('Path Traversal')`, `('Race Condition')`, …) en houdt ze alleen nog bij de *Alternate Terms*. `tool/build_cwe_catalog.dart` neemt die termen nu als `aliases` mee (129 entries), en `CweEntry.searchText` doorzoekt ze. In beeld komen ze niet. Zonder deze stap vond "race condition", "command injection" of "buffer overflow" in de CWE-kiezer niets meer. - **Handgekozen kern (`cwe_catalog.dart`)**: tien namen volgen nu de 5.0-titels, en de kern draagt dezelfde aliassen als het asset (22 entries). **CWE-613 is in 5.0 vervallen** ("Consider CWE-1462 and its descendants"), en de kern-entry dekte twee dingen. Hij is daarom vervangen door **CWE-1463** (Insufficient Session Timeout Value) en **CWE-1464** (Improper Session Invalidation), elk met een eigen omschrijving en remediatie. De kern telt nu 41 entries. De sjablonen citeerden 89/79/521 al in de korte vorm, dus daar verandert niets. - **Nieuwe toets**: de kern wordt naast het echte asset gelegd (naam, aliassen, niet `DEPRECATED`). De kern wint per id, dus een verouderde kern-naam verbergt de actuele MITRE-naam stil. Bij de volgende CWE-bump faalt deze toets daarop. Hij werd rood vóór de aliassen compleet waren (CWE-434). - **Poort telde dubbel**: de melding "2 standaard(en) verouderd" ging om één standaard. CWE telde voor de versie en nog eens voor de integriteitsbevinding (bundel te kort). Nu telt elke standaard één keer. Regressietest in `check_reference_data_tool_test.dart`, rood bewezen tegen de oude regel (2 ≠ 1). - Versie 5.0 in `reference_standards.dart`, licentietabel (984, alternate terms, kern 41), `PENTEST_MIAUW.md`-tellingen en CHANGELOG bijgewerkt. ## Licentie De MITRE Terms of Use (https://cwe.mitre.org/about/termsofuse.html) zijn op 29-10-2026 nagelezen en inhoudelijk ongewijzigd: een niet-exclusieve, royaltyvrije licentie, op voorwaarde dat het copyright van MITRE wordt meegenomen. De attributiekop in het asset blijft dus gelijk. Alleen het `_comment` noemt nu ook de alternate terms als MITRE-inhoud. ## Poort - `make deps-check` groen op `e068938ad`: MITRE CWE 5.0 → 5.0 actueel. - `make check` groen op `e068938ad`. - Bewaker bewust overgeslagen: de PR raakt geen bestandsformaat, geen opslag, geen afhankelijkheid, geen uitgaand verkeer en geen nieuwe belofte. Het gaat alleen om een bijgewerkte bundel en de feitenrij in de licentietabel. ## Buiten deze PR - `ISO 9001` meldt nu "2015 → 2026 nieuwer beschikbaar". Dat is adviserend en laat de poort niet vallen. Een nieuwe editie betekent een inhoudelijke migratie van de clausule-index; dat moet eerst op iso.org bevestigd worden. - MASWE-0024 (gegenereerd uit upstream MASWE) koppelt nog aan CWE-613. Dat is upstream-data en past zich aan bij de volgende MASWE-release. 🤖 Generated with [Claude Code](https://claude.com/claude-code)

brenno added 2 commits

2026-10-29 00:30:58 +00:00

check_reference_data: tel een verouderde én onvolledige standaard één keer 89556f6e5b

CWE 4.20 → 5.0 meldde "2 standaard(en) verouderd" terwijl alleen CWE achterliep:
de versie telde, en de integriteitsbevinding (bundel te kort) telde nog eens.
Een integriteitsprobleem telt nu alleen mee als de standaard niet al als
verouderd geteld is.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

CWE: bundel van MITRE CWE 4.20 naar 5.0 e068938adc

984 zwakheden (15 nieuw, geen verdwenen). CWE 5.0 haalde de gangbare namen uit
de titels ("('SQL Injection')", "('Race Condition')") en houdt ze alleen nog
bij de Alternate Terms. De bouwer neemt die nu als `aliases` mee en
CweEntry.searchText doorzoekt ze, anders vindt "race condition" CWE-362 niet
meer. De eigen kern volgt de 5.0-namen en draagt dezelfde aliassen; een toets
legt de kern naast het asset, want de kern wint per id en zou een oude naam
anders stil laten staan. CWE-613 is in 5.0 vervallen en opgesplitst; de kern
heeft er nu CWE-1463 (time-out) en CWE-1464 (invalidatie) voor.

De MITRE Terms of Use zijn ongewijzigd (royaltyvrije licentie, onder
vermelding van het copyright).

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

brenno merged commit 4d7aeb0627 into main

2026-10-29 01:05:40 +00:00

brenno referenced this pull request from a commit

2026-10-29 01:05:41 +00:00

CWE: bundel van MITRE CWE 4.20 naar 5.0 (#2653)

brenno referenced this pull request

2026-10-29 01:10:00 +00:00

feat: support custom SVG bullet markers (PR #2616 + gate fixes) #2652