| 顺序 | 精确版本 → 公告影响范围 → 本地前提核对 → 定级 |
|---|---|
| 依据 | 厂商公告与 CVE/NVD 条目 |
| 记录 | 公告编号与核对结论 |
匹配步骤
匹配步骤
1. 采集组件精确版本（含构建号/补丁级别）
2. 查厂商公告确认受影响版本范围与修复版本
3. 核对本地配置是否满足利用前提（组件启用、暴露面）
4. 结论中引用公告编号，标注“已核实/待核实”数据库条目存在滞后与误标：以厂商公告为最终依据，NVD 作为检索补充。
CVE 匹配方法（版本比对纪律）
把组件版本与公开漏洞库匹配时：先确认精确版本与构建，再核对公告的受影响范围与利用前提，避免“版本命中即高危”。
易错点
- 把 CVE 条目的通用描述当本地事实，未核对配置前提
- 只用数据库检索不查厂商公告，修复版本判断出错
数据来源与参考
- CVE 官网（cve.org）
- NVD（nvd.nist.gov）