Méthodologie
Comment un dossier est construit, qualifié et publié. Les règles sont versionnées et chaque priorité cite ses raisons.
Niveaux de priorité
- Urgente
- La vulnérabilité figure au catalogue KEV : exploitation confirmée.
- Élevée
- Exploitation signalée par la CISA (SSVC active), ou score CVSS de 9,0 ou plus.
- Normale
- Score CVSS de 7,0 ou plus, ou sévérité encore inconnue. L'inconnu ne fait jamais baisser la priorité.
- Faible
- Score CVSS connu inférieur à 7,0, ou dossier rejeté ou retiré.
Quand un événement est publié
Un nouveau dossier, un ajout ou un retrait du catalogue KEV, une exploitation confirmée, des versions affectées ou corrigées modifiées, un correctif disponible, une hausse de priorité, un retrait ou une correction. Une simple recollecte ne publie rien.
Ce qui est inconnu reste inconnu
Une information absente est affichée comme inconnue, jamais comme fausse. L'absence du catalogue KEV ne prouve pas l'absence d'exploitation. La probabilité EPSS sera affichée datée dès sa collecte.
Sources et redistribution
Chaque source déclare ses conditions de redistribution. Le texte d'une source n'est republié que si elle l'autorise. Sinon, seuls les faits (scores, produits, versions, dates) et le lien vers la source sont affichés.
- CISA Known Exploited Vulnerabilities
- Exploitation confirmée. Texte republié.
- CVE Program (cvelistV5)
- Fiches CVE des CNA et enrichissement de la CISA. Faits et liens seulement.
- GitHub Advisory Database
- Avis GHSA par package. Format en cours de vérification.