漏洞基础与评分46 条

评分严重性不等于实际风险

CVSS 严重性描述漏洞固有属性，风险还要叠加资产暴露与业务重要性；同样的 CVE 在互联网核心系统与隔离测试机上处置优先级可以完全不同。

同一漏洞两种结论

CVE 基础分 7.5
公网支付网关（公网可达 + 资金相关）-> 紧急，当日处置
内网离线测试机（无敏感数据 + 不可达）-> 低优先，随维护窗口处理
结论：分数是输入之一，不是结论本身

对外汇报先给处置结论与依据，再给评分；反过来容易被『为什么 9.8 分还没修』的问题牵着走。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌