Перейти к содержимому
ITDПлатформа веб-безопасности
ITD
Поиск

Поиск CVE / KEV

Введите идентификатор CVE, чтобы увидеть серьёзность (CVSS), вероятность эксплуатации (EPSS), подтверждена ли эксплуатация (CISA KEV) и подсказки по устранению — всё в одном месте. Сначала используется собственная база данных лент этого сайта, а затем — резервное обращение к NVD/FIRST в реальном времени.

При выполнении запроса идентификатор CVE отправляется этому сайту и при необходимости в публичные API NVD, OSV.dev и FIRST. Предварительное заполнение номера не запускает запрос. Номер может сохраняться в URL, истории браузера и журналах доступа. Не вводите пароли, персональные данные или учётные данные.

Открыть инструмент

Отправка
Номер CVE на сервер этого сайта
Хранение
Запросы не хранятся (номер может остаться в URL и журналах)
Внешний API
Сервер отправляет номер CVE в NVD, OSV.dev и FIRST
Цель
Только публичные номера CVE
Подробнее
  • При запросе номер CVE отправляется на сервер этого сайта. Сервер обращается к базе данных сайта и при необходимости отправляет номер CVE в публичные API NVD, OSV.dev и FIRST (EPSS).
  • Запросы не записываются в базу данных. Номер CVE входит в URL, поэтому может остаться в истории браузера и журналах доступа.
  • Версии и конфигурации, введённые в поля сравнения на странице результата, обрабатываются только в браузере. Не вводите ничего, кроме номера CVE (пароли, личные данные, учётные данные).
  • Сам показ страницы записывается в журнал доступа (IP-адрес, время, user agent и т. п.). На страницах инструментов не загружаются реклама и аналитика. Политика конфиденциальности
Попробовать пример (Log4Shell / CVE-2021-44228)CVE-2021-44228
CVE-2021-44228ITD DBЭксплуатация подтверждена (KEV)Использование в программах-вымогателяхПриоритет ITD: Критический

NVD record state: Analyzed

This describes NVD analysis work, not whether your product/version is affected. Pending, unscheduled or missing analysis does not establish safety or lack of impact.

NVD state stored by this site; the latest state was not rechecked for this lookup.

Reported state: Analyzed

NVD record modification: 2026-06-17T04:12:05.460ZThis is not the retrieval or rejection time. Consult the original for the full change history.

Check the original NVD record

Stored description; verify against the original record

Apache Log4j2 2.0-beta9 through 2.15.0 (excluding security releases 2.12.2, 2.12.3, and 2.3.1) JNDI features used in configuration, log messages, and parameters do not protect against attacker controlled LDAP and other JNDI related endpoints. An attacker who can control log messages or log message parameters can execute arbitrary code loaded from LDAP servers when message lookup substitution is enabled. From log4j 2.15.0, this behavior has been disabled by default. From version 2.16.0 (along with 2.12.2, 2.12.3, and 2.3.1), this functionality has been completely removed. Note that this vulnerability is specific to log4j-core and does not affect log4net, log4cxx, or other Apache Logging Services projects.

Официальный NVD
Серьёзность (CVSS)
CVSS10.0v3.1

Stored representative assessment

Assessor: nvd@nist.gov / primary

Reported vector (score not recalculated): CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Вероятность эксплуатации (EPSS)
100.0%2026-11-10
Процентиль EPSS
100.0%
Добавлено в KEV
2021-12-10
Срок устранения
2021-12-24
Опубликовано
2021-12-10
Compare CVSS assessors, versions and vectors (3)

CVSS Base describes severity, not the probability your system is compromised. For NVD records the display policy is the latest available version, then Primary within that version, then reported order. This does not maximize scores or identify Primary as NVD. Examine the platform and vectors; do not average different assessments.

Assessments below are from a stored NVD record, not a current recheck or complete history. At most the first 16 per version. An assessor is not inferred for legacy representative-only data.

Missing, unsupported or invalid fields or row limits leave some assessments unverified. The displayed assessments may be incomplete.

  • CVSS 3.1 / 10.0

    Assessor: nvd@nist.gov / primary

    CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

  • CVSS 3.1 / 10.0

    Assessor: 134c704f-9b21-4f2e-91b3-4a467353bcc0 / secondary

    CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

  • CVSS 2.0 / 9.3

    Assessor: nvd@nist.gov / primary

    AV:N/AC:M/Au:N/C:C/I:C/A:CVector format checking is unsupported for this version; reported text is retained.

CISA KEV records confirmed real-world exploitation, not continuous attack monitoring or compromise of your environment. EPSS forecasts observed exploitation over the next 30 days from its evaluation date, not the probability your site is compromised. Percentile is relative rank; the trend shows earlier daily forecasts. Low EPSS does not cancel confirmed KEV evidence. A CISA catalog due date is not treated as a universal legal deadline.

История ежедневных прогнозов EPSS (до 30 дней)
7 дней назад 100.0% → сейчас 100.0%(2026-11-10)
Тип уязвимости (CWE)
  • CWE-20Improper Input Validation
  • CWE-400Uncontrolled Resource Consumption
  • CWE-502Deserialization of Untrusted Data
  • CWE-917Improper Neutralization of Special Elements used in an Expression Language Statement ('Expression Language Injection')
Затронутые пакеты с открытым исходным кодом

Перед выбором исправления проверьте пакет, версию, ветку выпуска, совместимость и другие бюллетени. Более новые версии не обязательно безопасны. Диапазоны указаны по бюллетеням; пакеты дистрибутивов ОС не включены.

  • Mavenorg.apache.logging.log4j:log4j-coreGHSA-jfh8-c2jp-5v3q
    Затронуты
    ECOSYSTEM: >= 2.13.0, < 2.15.0ECOSYSTEM: >= 2.0-beta9, < 2.3.1ECOSYSTEM: >= 2.4, < 2.12.2+ конкретных версий: 33
    Исправлено в
    2.15.0, 2.3.1, 2.12.2
  • Mavenorg.ops4j.pax.logging:pax-logging-log4j2GHSA-jfh8-c2jp-5v3q
    Затронуты
    ECOSYSTEM: >= 1.8.0, < 1.9.2ECOSYSTEM: >= 1.10.0, < 1.10.8ECOSYSTEM: >= 1.11.0, < 1.11.10ECOSYSTEM: >= 2.0.0, < 2.0.11+ конкретных версий: 39
    Исправлено в
    1.9.2, 1.10.8, 1.11.10, 2.0.11
  • Mavencom.guicedee.services:log4j-coreGHSA-jfh8-c2jp-5v3q
    Затронуты
    ECOSYSTEM: <= 1.2.1.2-jre17+ конкретных версий: 362
    Исправлено в
    —
  • Mavenorg.xbib.elasticsearch:log4jGHSA-jfh8-c2jp-5v3q
    Затронуты
    конкретных версий: 1
    Исправлено в
    —
  • Mavenuk.co.nichesolutions.logging.log4j:log4j-coreGHSA-jfh8-c2jp-5v3q
    Затронуты
    конкретных версий: 1
    Исправлено в
    —

This product uses the NVD API but is not endorsed or certified by the NVD. Exploited-vulnerability data: CISA KEV (CC0). EPSS: see EPSS at https://www.first.org/epss. CWE™ is a trademark of The MITRE Corporation. Open source package data: OSV.dev / GitHub Advisory Database (CC BY 4.0).

Как пользоваться

  1. 1

    Введите интересующий вас идентификатор CVE (например, CVE-2021-44228).

  2. 2

    Отобразятся CVSS, EPSS, KEV (подтверждена ли эксплуатация) и подсказки по устранению.

  3. 3

    Углубитесь через «разбор этого сайта» или страницу «Официальный NVD».

Почему это важно

CVSS — это серьёзность, но будет ли уязвимость эксплуатироваться — отдельный вопрос. Сочетание EPSS (прогноз на 30 дней от даты оценки) с CISA KEV (эксплуатация фактически наблюдается) позволяет реалистично решить, нужно ли устранять её прямо сейчас. Этот сайт собирает все три показателя (CVSS × EPSS × KEV) на одном экране.

Частые вопросы

QЧто такое KEV?
A

Каталог CISA содержит уязвимости с подтверждённой эксплуатацией в реальных условиях. Это основание для приоритета, но не доказательство продолжающейся сейчас атаки или компрометации вашей системы.

QEPSS против CVSS?
A

CVSS Base описывает серьёзность. EPSS оценивает вероятность наблюдаемой эксплуатации за следующие 30 дней от даты оценки, а не вероятность компрометации вашей системы. Учитывайте продукт, версию и доступность для атак.

QМожно ли найти любой CVE?
A

Сначала используется база сайта, недостающие сведения запрашиваются в NVD. Отсутствие локальной записи или сбой запроса не доказывает отсутствие в KEV или отсутствие влияния.

Похожие страницы