CVSS漏洞评分哪里查

NVD官网（nvd.nist.gov）是漏洞里查查CVSS评分最直接的地方。输入CVE编号，评分比如CVE-2024-3094，漏洞里查页面顶部就会显示一个Base Score，评分旁边标注版本号——CVSS 3.1还是漏洞里查4.0。这个分数是评分NIST的分析师打的，不是漏洞里查厂商自己填的，可信度相对高。评分但有个问题：NVD的漏洞里查评分有时会滞后。一个漏洞公开后，评分厂商可能当天就发了 advisory 并附上自己算的漏洞里查CVSS分数，NVD却要等几天甚至几周才更新。评分急着评估风险的漏洞里查话，不能只盯NVD。评分

厂商自己的漏洞里查安全公告往往更快。微软的MSRC、思科的Security Advisory、Apache基金会的邮件列表，这些地方通常在漏洞披露的同时就给出CVSS向量和分数。注意看他们用的是哪个版本——CVSS 2.0、3.0、3.1还是4.0，分数可能差不少。同一个漏洞，用3.1算出来7.5，用4.0可能变成8.2，因为4.0对某些指标的定义变了。我见过有人拿2.0的分数去跟3.1的比，然后说“怎么分数降了”，其实根本不是一回事。

MITRE的CVE列表（cve.org）也值得翻。它本身不提供CVSS评分，但每个CVE条目下面会链接到厂商公告、NVD页面、以及各种第三方分析。有时候厂商没给分数，NVD还没更新，但某个安全研究员的博客里已经算好了。这种“野生”评分不一定权威，但能帮你快速判断严重程度。前提是得看那人有没有把向量字符串列出来——只给一个数字不给向量的，基本可以忽略。

再说一个容易被忽略的渠道：GitHub Security Advisory。很多开源项目的漏洞会先在这里发布，附带的CVSS评分通常是项目维护者或GitHub安全团队算的。比如一个npm包的漏洞，GitHub页面会直接显示“Moderate”或“Critical”，点进去能看到具体的CVSS 3.1分数和向量。对开发人员来说，这比去NVD翻更省事，因为直接关联到依赖版本和修复建议。

查的时候注意区分Base Score、Temporal Score和Environmental Score。大部分公开渠道只给Base Score，也就是漏洞本身的固有严重性，不考虑时间因素和你的具体环境。Temporal Score会考虑漏洞利用代码是否公开、修复是否可用，这个在NVD页面上有时会显示，但很多厂商公告直接省略。Environmental Score得你自己根据资产重要性去调，没有现成的地方查。所以看到“CVSS 9.8”先别慌，那只是Base，实际风险可能更低或更高。

CVSS 4.0从2023年底开始被广泛采用，但很多老漏洞还是3.1甚至3.0的评分。查的时候留意版本号，别混着用。NVD现在会同时显示3.1和4.0的分数（如果分析师两个都算了），但有些漏洞只更新了3.1。我一般优先看4.0，没有的话再看3.1，最后才参考2.0——2.0的评分逻辑跟现在差太多，基本只能当个粗略参考。

最后提一个实操细节：NVD的API可以批量查。如果你要评估几十个CVE，手动搜太慢，用 https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-XXXX-XXXX 直接拿JSON，里面包含CVSS评分和向量。免费，但有速率限制。写脚本跑的话，加个sleep，别把人家服务器打挂了。