为什么同一漏洞分数不同
NVD、CNVD、厂商公告与各类扫描器对同一漏洞给出的评分可能不一致：数据更新时间滞后、判定口径不同、是否假定已有前置条件与用户交互不同，都会反映到分值上。内部台账若不固定评分来源与快照时间，排序与统计就会被多种口径同时干扰，跨团队的数字永远对不上。
基本信息
| 差异来源 | 数据更新滞后、判定口径、环境与前置条件假设 |
|---|---|
| 排序口径 | 固定使用 NVD CVSS 基础分，并记录抓取时间 |
| 信息补齐 | 厂商公告的利用状态与修复版本优先 |
| 复核阈值 | 来源之间分值差异较大时人工复核向量 |
| 报表要求 | 注明评分来源与数据快照日期 |
典型使用场景
- 内部排序：统一用同一来源的分数排序，避免一会儿用扫描器一会儿用厂商公告
- 紧急处置：NVD 尚未更新时按厂商公告判断，并按内部规则登记临时评分
- 历史对比：两次报表使用同一来源与同一快照口径才有可比性
- 审计说明：能解释为什么本月的分数与上月不同
- 跨团队对齐：研发、运维与安全看的是同一份口径说明
处理约定建议
处理约定建议
排序评分：统一采用 NVD CVSS 3.1 基础分（记录抓取时间）
补齐信息：厂商公告的利用状态与修复版本优先
报表口径：注明评分来源 + 快照日期
差异处理：同一漏洞在不同来源差异明显时人工复核向量
临时评分：对来源未更新项，按内部规则评分并标注来源为厂商公告差异来源与表现
| 来源 | 差异表现 | 处理建议 |
|---|---|---|
| NVD | 对部分 CVE 评分滞后于厂商公告 | 紧急处置时以厂商材料为准 |
| 厂商公告 | 可能给出更贴合产品的判定 | 作为利用状态与修复版本依据 |
| 国内漏洞库 | 编号与描述范围略有不同 | 映射到主编号后统一口径 |
| 扫描器 | 自带评分与规则库版本绑定 | 不作为排序依据，仅作参考 |
NVD 对部分 CVE 的评分可能滞后于厂商公告：紧急处置时以厂商材料为准，等官方分数更新后再回填台账，并把这次临时判断记录下来。
同一漏洞在不同来源的向量差异往往来自前置条件假设：复核对可先看攻击向量与权限要求两项，多数分歧都能在这里找到原因。