Pular para o conteúdo
ITDPlataforma de Segurança Web
ITD
Buscar

Consulta de CVE / KEV

Informe um identificador CVE para ver a gravidade (CVSS), a probabilidade de exploração (EPSS), se há exploração confirmada (CISA KEV) e pistas de remediação em um só lugar. Primeiro o banco de dados de feeds deste site, com fallback ao vivo do NVD/FIRST.

Ao executar uma consulta, o identificador CVE é enviado a este site e, quando necessário, às APIs públicas do NVD, OSV.dev e FIRST. Preencher o identificador não inicia a consulta. O identificador pode permanecer na URL, no histórico do navegador e nos registros de acesso. Não insira senhas, informações pessoais ou credenciais.

Usar a ferramenta

Envio
O ID do CVE, para o servidor deste site
Armazenamento
As consultas não são guardadas (o ID pode ficar em URLs e registros)
API externa
O servidor envia o ID do CVE ao NVD, OSV.dev e FIRST
Alvo
Apenas IDs de CVE públicos
Detalhes
  • Ao consultar, o ID do CVE é enviado ao servidor deste site. O servidor lê o banco de dados do site e, quando necessário, envia o ID do CVE às APIs públicas do NVD, OSV.dev e FIRST (EPSS).
  • As consultas não são registradas no banco de dados. O ID do CVE faz parte da URL, então pode ficar no histórico do navegador e nos registros de acesso.
  • Versões ou configurações digitadas nos campos de comparação do resultado são processadas só no seu navegador. Não digite nada além de um ID de CVE (senhas, dados pessoais ou credenciais).
  • O carregamento da página em si fica no registro de acesso (endereço IP, horário, user agent etc.). As páginas de ferramentas não carregam anúncios nem análise de acesso. Política de privacidade
Testar um exemplo (Log4Shell / CVE-2021-44228)CVE-2021-44228
CVE-2021-44228ITD DBExploração confirmada (KEV)Uso em ransomwarePrioridade ITD: Crítica

NVD record state: Analyzed

This describes NVD analysis work, not whether your product/version is affected. Pending, unscheduled or missing analysis does not establish safety or lack of impact.

NVD state stored by this site; the latest state was not rechecked for this lookup.

Reported state: Analyzed

NVD record modification: 2026-06-17T04:12:05.460ZThis is not the retrieval or rejection time. Consult the original for the full change history.

Check the original NVD record

Stored description; verify against the original record

Apache Log4j2 2.0-beta9 through 2.15.0 (excluding security releases 2.12.2, 2.12.3, and 2.3.1) JNDI features used in configuration, log messages, and parameters do not protect against attacker controlled LDAP and other JNDI related endpoints. An attacker who can control log messages or log message parameters can execute arbitrary code loaded from LDAP servers when message lookup substitution is enabled. From log4j 2.15.0, this behavior has been disabled by default. From version 2.16.0 (along with 2.12.2, 2.12.3, and 2.3.1), this functionality has been completely removed. Note that this vulnerability is specific to log4j-core and does not affect log4net, log4cxx, or other Apache Logging Services projects.

NVD oficial
Gravidade (CVSS)
CVSS10.0v3.1

Stored representative assessment

Assessor: nvd@nist.gov / primary

Reported vector (score not recalculated): CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Probabilidade de exploração (EPSS)
100.0%2026-11-10
Percentil EPSS
100.0%
Adicionada ao KEV
2021-12-10
Prazo de remediação
2021-12-24
Publicada
2021-12-10
Compare CVSS assessors, versions and vectors (3)

CVSS Base describes severity, not the probability your system is compromised. For NVD records the display policy is the latest available version, then Primary within that version, then reported order. This does not maximize scores or identify Primary as NVD. Examine the platform and vectors; do not average different assessments.

Assessments below are from a stored NVD record, not a current recheck or complete history. At most the first 16 per version. An assessor is not inferred for legacy representative-only data.

Missing, unsupported or invalid fields or row limits leave some assessments unverified. The displayed assessments may be incomplete.

  • CVSS 3.1 / 10.0

    Assessor: nvd@nist.gov / primary

    CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

  • CVSS 3.1 / 10.0

    Assessor: 134c704f-9b21-4f2e-91b3-4a467353bcc0 / secondary

    CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

  • CVSS 2.0 / 9.3

    Assessor: nvd@nist.gov / primary

    AV:N/AC:M/Au:N/C:C/I:C/A:CVector format checking is unsupported for this version; reported text is retained.

CISA KEV records confirmed real-world exploitation, not continuous attack monitoring or compromise of your environment. EPSS forecasts observed exploitation over the next 30 days from its evaluation date, not the probability your site is compromised. Percentile is relative rank; the trend shows earlier daily forecasts. Low EPSS does not cancel confirmed KEV evidence. A CISA catalog due date is not treated as a universal legal deadline.

Histórico de previsões diárias EPSS (até 30 dias)
7 dias atrás 100.0% → último 100.0%(2026-11-10)
Tipo de fraqueza (CWE)
  • CWE-20Improper Input Validation
  • CWE-400Uncontrolled Resource Consumption
  • CWE-502Deserialization of Untrusted Data
  • CWE-917Improper Neutralization of Special Elements used in an Expression Language Statement ('Expression Language Injection')
Pacotes de código aberto afetados

Antes de escolher uma correção, confira o pacote, a versão, a série, a compatibilidade e outros avisos. Versões posteriores não são necessariamente seguras. Os intervalos vêm de cada aviso; pacotes de distribuições do sistema operacional não estão incluídos.

  • Mavenorg.apache.logging.log4j:log4j-coreGHSA-jfh8-c2jp-5v3q
    Afetadas
    ECOSYSTEM: >= 2.13.0, < 2.15.0ECOSYSTEM: >= 2.0-beta9, < 2.3.1ECOSYSTEM: >= 2.4, < 2.12.2+ 33 versões específicas
    Corrigido em
    2.15.0, 2.3.1, 2.12.2
  • Mavenorg.ops4j.pax.logging:pax-logging-log4j2GHSA-jfh8-c2jp-5v3q
    Afetadas
    ECOSYSTEM: >= 1.8.0, < 1.9.2ECOSYSTEM: >= 1.10.0, < 1.10.8ECOSYSTEM: >= 1.11.0, < 1.11.10ECOSYSTEM: >= 2.0.0, < 2.0.11+ 39 versões específicas
    Corrigido em
    1.9.2, 1.10.8, 1.11.10, 2.0.11
  • Mavencom.guicedee.services:log4j-coreGHSA-jfh8-c2jp-5v3q
    Afetadas
    ECOSYSTEM: <= 1.2.1.2-jre17+ 362 versões específicas
    Corrigido em
    —
  • Mavenorg.xbib.elasticsearch:log4jGHSA-jfh8-c2jp-5v3q
    Afetadas
    1 versões específicas
    Corrigido em
    —
  • Mavenuk.co.nichesolutions.logging.log4j:log4j-coreGHSA-jfh8-c2jp-5v3q
    Afetadas
    1 versões específicas
    Corrigido em
    —

This product uses the NVD API but is not endorsed or certified by the NVD. Exploited-vulnerability data: CISA KEV (CC0). EPSS: see EPSS at https://www.first.org/epss. CWE™ is a trademark of The MITRE Corporation. Open source package data: OSV.dev / GitHub Advisory Database (CC BY 4.0).

Como usar

  1. 1

    Informe o identificador CVE que você quer (ex.: CVE-2021-44228).

  2. 2

    São exibidos CVSS, EPSS, KEV (exploração confirmada) e pistas de remediação.

  3. 3

    Aprofunde-se com a “análise deste site” ou a página “NVD oficial”.

Por que importa

CVSS é a gravidade, mas se a vulnerabilidade será explorada é outra questão. Combinar EPSS (previsão de 30 dias a partir da data da avaliação) com o CISA KEV (exploração realmente observada) permite decidir de forma realista se corrigir agora. Este site reúne os três (CVSS × EPSS × KEV) em uma só tela.

Perguntas frequentes

QO que é KEV?
A

O catálogo da CISA registra vulnerabilidades com exploração real confirmada. É evidência para priorização, mas não comprova ataques em andamento agora nem comprometimento do seu ambiente.

QEPSS x CVSS?
A

CVSS Base descreve a gravidade. EPSS estima a exploração observada nos 30 dias seguintes à data da avaliação, não a probabilidade de comprometimento do seu sistema. Considere produto, versão e exposição.

QPosso consultar qualquer CVE?
A

Este site consulta primeiro seu banco e depois o NVD para informações ausentes. Ausência local ou falha na consulta não comprova ausência no KEV nem falta de impacto.

Páginas relacionadas