Vulnerabilidades y exposiciones comunes

CVE da una referencia común y CVSS ayuda a describir severidad. Ninguno conoce por sí solo cuánto depende nuestro negocio del sistema afectado. El número orienta; no juega la partida por nosotros.

Una vulnerabilidad es una debilidad que puede aprovecharse para afectar la seguridad. CVE permite identificar y referenciar vulnerabilidades de forma común entre herramientas y proveedores. Su nombre no establece que «vulnerabilidad» y «exposición» sean dos clases excluyentes de fallos.

Lista CVE

Un CVE ID identifica un registro; no es un parche ni una puntuación. Las CNA asignan identificadores dentro de su ámbito y siguiendo las reglas del programa. No conviene reducir esas reglas a «solo un código base»: la decisión de separar o agrupar depende del caso. CVE: reglas para las CNA.

El PDF oficial de reglas CNA v4.2.0, vigente desde el 25 de agosto de 2026, detalla los criterios de asignación. Para decidir una asignación hay que consultar los criterios y excepciones de ese documento.

CVSS: severidad, no el riesgo completo

CVSS expresa severidad técnica. En v4.0 hay métricas Base, Threat, Environmental y Supplemental. El resultado depende de qué grupos se hayan evaluado; los factores de amenaza y entorno permiten contextualizarlo. Con datos corregidos también puede revisarse una evaluación anterior.

La escala cualitativa distingue 0 (ninguna), 0,1–3,9 (baja), 4,0–6,9 (media), 7,0–8,9 (alta) y 9,0–10 (crítica). «Baja» no significa que podamos ignorarla: el riesgo depende también de nuestros activos y exposición. FIRST: especificación CVSS v4.0.

Un número ayuda a priorizar; no hace el triage por nosotros. (¬_¬)

+----------------------------------------+
| Floure &                               |
| Tachibana's guild                      |
| [Hikari · Nozomi]                      |
| SEAL: sha256/12: 25c71eec198b          |
| STATUS: LITURGY_IN_PROGRESS            |
+----------------------------------------+

Vulnerabilidades y exposiciones comunes