一份刚拿到的安全漏洞情报里，如果只写了“某开源组件存在反序列化漏洞，漏洞影响版本 2.3.1 至 2.4.7”，情报却没有任何 CVSS 评分，数据你会怎么判断它的包括紧急程度？很多安全团队的第一反应是：先查 NVD 或厂商公告，把分数补上。评分可问题是信息，你拿到的安全原始情报数据本身，压根就不包含 CVSS 评分信息。漏洞这不是情报数据缺失，而是数据这类情报的常态。

CVSS 评分是包括事后评估工具，不是评分漏洞的固有属性。一个漏洞被披露时，信息披露者可能只掌握概念验证代码，安全还没测出实际攻击复杂度；也可能只看到某个内部系统的异常日志，连攻击路径都没完全还原。这时候硬要填一个 CVSS 分数，要么拍脑袋，要么照搬同类漏洞的模板。我见过一份来自某漏洞研究者的原始报告，里面详细写了触发条件、寄存器状态和利用链长度，但全文没有出现“CVSS”三个字母。他后来在邮件里说：“评分是给管理层看的，我先把技术事实说清楚。”

安全漏洞情报数据通常来自多个渠道：爬虫抓取的论坛帖子、邮件列表里的讨论、暗网交易截图、厂商私下的补丁说明。这些渠道有一个共同点——它们不生产 CVSS 评分。NVD 会做二次加工，给 CVE 编号配上评分向量，但那是另一个环节。原始情报的字段往往只有：漏洞名称、影响产品、发现时间、利用方式描述、参考链接。评分？那是分析师自己根据上下文推出来的，不是情报自带的。

有人会反驳：没有评分怎么排优先级？这恰恰暴露了一个惯性思维——把 CVSS 当成了漏洞管理的唯一标尺。CVSS 有它的价值，比如基础分能快速过滤掉一批低危漏洞。但它也有硬伤：环境分和时序分需要你手动调整，而原始情报里连基础分都没有的时候，你反而被迫去读漏洞描述本身。我观察过几个成熟团队的做法，他们拿到无评分情报后，会先看三个东西：利用代码是否公开、受影响资产是否暴露在互联网、漏洞触发是否需要认证。这三个问题的答案，比一个 7.5 或 9.8 的数字更有决策价值。

举个例子。某次一个中间件漏洞在推特上被放出，只有一段模糊的 PoC 视频，没有 CVE，没有 CVSS。一个安全工程师花二十分钟复现了漏洞，发现利用需要目标开启特定调试端口，而他们生产环境早就禁用了该端口。他给这个漏洞的内部评级是“低”，理由不是 CVSS 算出来的，而是资产上下文决定的。如果当时硬套一个 CVSS 9.0，整个团队可能白忙一天。

另一个现实是，CVSS 评分本身也有滞后和争议。同一个漏洞，NVD 给 8.8，厂商给 6.5，第三方给 9.1。你信谁？原始情报不包含评分，反而让你避开这种扯皮。你直接看漏洞的利用条件、影响范围、修复难度。这些信息在原始数据里往往更真实，因为它们是发现者 firsthand 观察到的，不是评估者套公式算出来的。

当然，这不是说 CVSS 没用。它适合做批量扫描后的初筛，适合向非技术管理层解释风险。但如果你手里的情报数据没有评分，别急着去补。先问自己：这个漏洞需要什么前提才能触发？我的环境满足这些前提吗？有没有公开的利用工具？回答完这三个问题，你心里那个“紧急程度”已经比任何评分都准了。安全漏洞情报数据里不包括 CVSS 评分，不是缺陷，是提醒你：评分是别人的结论，情报才是你自己的判断起点。