口令存储在客户端是以明文的一般编码方式存储的，也是以同样的编码方式传输。 这种编码仅仅可以避免口令被无心发现的危险（例如，被碰巧看到这个文件的系统管理员看到），它甚至不能阻止一个想获得口令的初级攻击者。
分开的 cvs 口令文件(参阅 Password authentication server) 允许用户使用与注册不同的口令获取仓库的访问。 在另一方面，一旦用户拥有对仓库的非只读权限，他就可以在服务器上通过一系列手段运行程序。 因而，仓库的访问比系统相同权限要宽得多。 可以通过修改 cvs 来防止这一情况，但是在本文写作以前，还没有人这样做过。
注意，因为 $CVSROOT/CVSROOT 目录包含 passwd 和其它与安全审核相关的文件，你必须象严格控制 /etc 目录的许可权限一样严格地控制这个目录的许可权限。 同样适用于 $CVSROOT 目录本身和它在文件目录树结构中的任何上级目录。 任何对这些目录具有写访问的用户将有能力成为系统上的任何用户。 注意，如果你没有使用 pserver 的话，这些权限典型地比你应该使用的更加牢固。
概括地讲，任何获得口令的用户就获得仓库的访问权限(同时也获得了一般系统的访问权限)。 对任何可以嗅探网络数据包或者能够读取被保护的文件（例如，只读文件）的人该口令都是有用的。 如果你希望获得更高的安全性能，请使用 Kerberos 网络安全系统。