Почему одна CVE важнее другой

Прозрачная формула

База по CVSS: 0/1/2/3/4 при отсутствии или 0 / >0 / ≥4 / ≥7 / ≥9. EPSS ≥ порога: max(2, база)+1; PoC: max(1, уровень)+1; подтверждённое совпадение стека: max(1, уровень)+1; результат ограничен 4. KEV принудительно 4. REJECTED/RESERVED/WITHDRAWN — 0.

CVSS выбирается по версии: 4.0 → 3.1 → 3.0 → 2.0. В рамках версии предпочтение отдаётся оценке Primary, затем наибольшей оценке. Доступные оценки и векторы сохраняются в карточке.

Порог EPSS: 10%. Для исходного уровня «неизвестно» высокий EPSS поднимает приоритет до высокого; техническая тяжесть при этом остаётся неизвестной.

Ограничения оценок

• Приоритет не является вероятностью и не заменяет оценку окружения
• EPSS — вероятность эксплуатации в ближайшие 30 дней, не тяжесть последствий
• Нет данных не означает отсутствие уязвимости
• Ссылки на PoC не доказывают применимость к вашей конфигурации

Как формируется «Что делать»

Приоритет источников: бюллетень вендора, поля solutions/workarounds из CVE Record, структурированные сведения NVD и пакетных баз. Если проверенного исправления нет, выводится общая рекомендация с явной пометкой. Команды установки и номера исправленных версий не генерируются языковой моделью.

Задержка и история

Портал сохраняет время получения, источник каждого поля и события изменения. Уведомления обрабатываются отдельно от исторической загрузки. Цель доставки — до пяти минут после получения значимого события порталом при доступном канале. Лаг публикации внешнего фида в этот интервал не входит.

Сопоставление версий

Возможны три результата: диапазон затронут, версия вне поддержанного диапазона или требуется проверка. Debian/RPM, Maven, git-диапазоны и условия окружения нельзя безопасно сравнивать как обычные числа. Для пакетных экосистем OSV дополняет запись по точному запросу установленной версии.