内容摘要：打开NVD的搜索框，输入“CVE-2024-3094”，页面会跳出一行红字：CVSS评分10.0。这个分数意味着什么？意味着任何一个能访问该接口的攻击者，都可以直接绕过身份验证，拿到系统最高权限。这个

打开NVD的洞网搜索框，输入“CVE-2024-3094”，洞网页面会跳出一行红字：CVSS评分10.0。洞网这个分数意味着什么？洞网意味着任何一个能访问该接口的攻击者，都可以直接绕过身份验证，洞网拿到系统最高权限。洞网这个漏洞藏在XZ Utils的洞网5.6.0和5.6.1版本里，一个被广泛使用的洞网压缩库。要不是洞网微软的PostgreSQL开发人员Andres Freund在测试SSH性能时发现异常，这个后门可能已经在无数Linux服务器上安静地运行了。洞网

这就是洞网CVE漏洞网站存在的意义。它们不是洞网新闻聚合器，也不是洞网技术博客，而是洞网一套全球协作的漏洞追踪系统。每个CVE编号背后，洞网都对应着一个被确认的安全缺陷。网站本身不修复漏洞，它做的是登记、分类、评分、公开。听起来简单，但真正用起来，你会发现这里面藏着不少门道。

几个常用的CVE网站，各有各的脾气

NVD（美国国家漏洞数据库）是绕不开的。它由NIST维护，数据最全，每个条目都带CVSS评分和CWE分类。但NVD有个毛病：更新有延迟。一个新CVE公布后，NVD可能要等几天甚至几周才补上完整的分析。这段时间里，你只能看到MITRE的原始描述，信息量少得可怜。

MITRE的CVE列表是源头。所有CVE编号都由MITRE分配，这里的条目最原始，也最及时。但它的界面朴素得像上世纪九十年代的产物，搜索功能也谈不上好用。你得习惯直接翻列表，或者用API拉数据。

还有一个我经常用的是CVE Details。它把NVD的数据重新整理，按厂商、产品、漏洞类型做了分类。想查“Apache今年出了多少个高危漏洞”，在这里点几下就能出结果。缺点是数据同步偶尔滞后，而且广告有点多。

国内的话，CNNVD（国家信息安全漏洞库）和CNVD（国家信息安全漏洞共享平台）值得一看。CNNVD的条目会附带中文描述和修复建议，对国内厂商的产品覆盖更全。CNVD更偏向实际案例，有时候会直接给出PoC或者利用方式。

怎么用这些网站才不浪费时间

别一上来就盯着CVSS评分。10.0分的漏洞如果只影响一个你根本没装的软件，那对你来说就是0分。先看影响范围：厂商、产品、版本号。再看利用条件：需要本地访问还是远程？需要认证还是匿名？最后才看评分。

举个例子。CVE-2023-44487，HTTP/2的Rapid Reset攻击，CVSS评分7.5。数字不算吓人，但它影响几乎所有主流HTTP/2实现——Nginx、Apache、Go、Netty。攻击者不需要认证，一个TCP连接就能打。这种漏洞的实际威胁远高于评分。

反过来，有些9.8分的漏洞只影响某个冷门插件的特定配置。你花半小时读完报告，发现自己的环境根本不满足条件。所以，CVE网站的正确用法是：先过滤，再深读。NVD的高级搜索支持按CVSS评分、CWE类型、发布日期组合查询。用好这个功能，能省掉大量无效阅读。

网站之外的事

CVE网站不会告诉你某个漏洞是否已经被利用。想查这个，得去CISA的Known Exploited Vulnerabilities目录，或者看Exploit-DB、GitHub上的PoC仓库。一个CVE编号刚公布时，往往只有描述和评分。几天后，安全研究员才会放出分析文章和利用代码。这段时间差，就是防守方最紧张的时刻。

我习惯在NVD的条目页面往下翻，看“References”里的链接。厂商的公告、研究员的博客、邮件列表的讨论，这些比NVD的摘要有用得多。有时候，一个漏洞的真正影响范围，只有在这些一手资料里才能看清楚。

最后说一句：CVE网站是工具，不是答案。它们提供的是原材料，判断还得你自己来。别被评分牵着走，也别指望一个网站能解决所有问题。多开几个标签页，交叉验证，才是正经用法。