跳到正文
ITDWeb 安全平台
ITD
搜索

CVE / KEV 查询

输入 CVE 编号，即可在一个页面查看严重程度（CVSS）、被利用概率（EPSS）、是否已有实际利用确认（CISA KEV）以及修复线索。优先读取本站自有的情报源数据库，没有时再从 NVD/FIRST 获取。

执行查询时，CVE 编号会发送到本站，并在需要时发送到 NVD、OSV.dev 和 FIRST 的公开 API。仅预填编号不会执行查询。查询编号可能保留在 URL、浏览器历史记录和访问日志中。请勿输入密码、个人信息或凭据。

使用工具

发送
将CVE编号发送到本站服务器
保存
不保存查询内容（编号可能留在URL和日志中）
外部API
服务器向NVD、OSV.dev、FIRST发送CVE编号
对象
仅查询公开的CVE编号
详细说明
  • 执行查询时，CVE编号会发送到本站服务器。服务器查询本站数据库，并在需要时向NVD、OSV.dev、FIRST（EPSS）的公开API发送CVE编号。
  • 查询内容不会记录到数据库。CVE编号包含在URL中，因此可能留在浏览器历史和访问日志中。
  • 在结果页面的版本、配置比对栏中输入的值只在浏览器内处理。请勿输入CVE编号以外的信息（密码、个人信息、认证信息）。
  • 页面本身的访问会记录在访问日志中（IP地址、时间、用户代理等）。工具页面不加载广告和访问分析。 隐私政策
试用示例（Log4Shell / CVE-2021-44228）CVE-2021-44228
CVE-2021-44228ITD DB已确认利用 (KEV)勒索软件利用ITD 优先级: 紧急

NVD record state: Analyzed

This describes NVD analysis work, not whether your product/version is affected. Pending, unscheduled or missing analysis does not establish safety or lack of impact.

NVD state stored by this site; the latest state was not rechecked for this lookup.

Reported state: Analyzed

NVD record modification: 2026-06-17T04:12:05.460ZThis is not the retrieval or rejection time. Consult the original for the full change history.

Check the original NVD record

Stored description; verify against the original record

Apache Log4j2 2.0-beta9 through 2.15.0 (excluding security releases 2.12.2, 2.12.3, and 2.3.1) JNDI features used in configuration, log messages, and parameters do not protect against attacker controlled LDAP and other JNDI related endpoints. An attacker who can control log messages or log message parameters can execute arbitrary code loaded from LDAP servers when message lookup substitution is enabled. From log4j 2.15.0, this behavior has been disabled by default. From version 2.16.0 (along with 2.12.2, 2.12.3, and 2.3.1), this functionality has been completely removed. Note that this vulnerability is specific to log4j-core and does not affect log4net, log4cxx, or other Apache Logging Services projects.

NVD 官方
严重程度 (CVSS)
CVSS10.0v3.1

Stored representative assessment

Assessor: nvd@nist.gov / primary

Reported vector (score not recalculated): CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

被利用概率 (EPSS)
100.0%2026-11-10
EPSS 百分位
100.0%
KEV 收录日
2021-12-10
修复期限
2021-12-24
公开日期
2021-12-10
Compare CVSS assessors, versions and vectors (3)

CVSS Base describes severity, not the probability your system is compromised. For NVD records the display policy is the latest available version, then Primary within that version, then reported order. This does not maximize scores or identify Primary as NVD. Examine the platform and vectors; do not average different assessments.

Assessments below are from a stored NVD record, not a current recheck or complete history. At most the first 16 per version. An assessor is not inferred for legacy representative-only data.

Missing, unsupported or invalid fields or row limits leave some assessments unverified. The displayed assessments may be incomplete.

  • CVSS 3.1 / 10.0

    Assessor: nvd@nist.gov / primary

    CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

  • CVSS 3.1 / 10.0

    Assessor: 134c704f-9b21-4f2e-91b3-4a467353bcc0 / secondary

    CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

  • CVSS 2.0 / 9.3

    Assessor: nvd@nist.gov / primary

    AV:N/AC:M/Au:N/C:C/I:C/A:CVector format checking is unsupported for this version; reported text is retained.

CISA KEV records confirmed real-world exploitation, not continuous attack monitoring or compromise of your environment. EPSS forecasts observed exploitation over the next 30 days from its evaluation date, not the probability your site is compromised. Percentile is relative rank; the trend shows earlier daily forecasts. Low EPSS does not cancel confirmed KEV evidence. A CISA catalog due date is not treated as a universal legal deadline.

EPSS 每日预测值历史（最多 30 天）
7 天前 100.0% → 最新 100.0%(2026-11-10)
漏洞类型 (CWE)
  • CWE-20Improper Input Validation
  • CWE-400Uncontrolled Resource Consumption
  • CWE-502Deserialization of Untrusted Data
  • CWE-917Improper Neutralization of Special Elements used in an Expression Language Statement ('Expression Language Injection')
受影响的开源软件包

选择修复版本前，请核对软件包、版本、发布分支、兼容性及其他公告。更高版本不代表一定安全。范围以各公告为准，不含操作系统发行版提供的软件包。

  • Mavenorg.apache.logging.log4j:log4j-coreGHSA-jfh8-c2jp-5v3q
    受影响
    ECOSYSTEM: >= 2.13.0, < 2.15.0ECOSYSTEM: >= 2.0-beta9, < 2.3.1ECOSYSTEM: >= 2.4, < 2.12.2+ 33 个特定版本
    修复版本
    2.15.0, 2.3.1, 2.12.2
  • Mavenorg.ops4j.pax.logging:pax-logging-log4j2GHSA-jfh8-c2jp-5v3q
    受影响
    ECOSYSTEM: >= 1.8.0, < 1.9.2ECOSYSTEM: >= 1.10.0, < 1.10.8ECOSYSTEM: >= 1.11.0, < 1.11.10ECOSYSTEM: >= 2.0.0, < 2.0.11+ 39 个特定版本
    修复版本
    1.9.2, 1.10.8, 1.11.10, 2.0.11
  • Mavencom.guicedee.services:log4j-coreGHSA-jfh8-c2jp-5v3q
    受影响
    ECOSYSTEM: <= 1.2.1.2-jre17+ 362 个特定版本
    修复版本
    —
  • Mavenorg.xbib.elasticsearch:log4jGHSA-jfh8-c2jp-5v3q
    受影响
    1 个特定版本
    修复版本
    —
  • Mavenuk.co.nichesolutions.logging.log4j:log4j-coreGHSA-jfh8-c2jp-5v3q
    受影响
    1 个特定版本
    修复版本
    —

This product uses the NVD API but is not endorsed or certified by the NVD. Exploited-vulnerability data: CISA KEV (CC0). EPSS: see EPSS at https://www.first.org/epss. CWE™ is a trademark of The MITRE Corporation. Open source package data: OSV.dev / GitHub Advisory Database (CC BY 4.0).

使用方法

  1. 1

    输入您关注的 CVE 编号（示例：CVE-2021-44228）。

  2. 2

    页面会显示 CVSS、EPSS、KEV（是否有利用确认）以及修复线索。

  3. 3

    通过“本站的解读文章”或“NVD 官方”页面进一步了解详情。

为什么重要

CVSS 表示“严重程度”，但是否会被利用是另一回事。把 EPSS（评估日期起未来 30 天的利用预测）与 CISA KEV（已实际观测到的利用）一并查看，才能现实地判断“是否需要立即修复”。本站将这三项（CVSS × EPSS × KEV）汇总到一个页面。

常见问题

Q什么是 KEV？
A

这是 CISA 收录已确认在实际环境中被利用的漏洞的目录。应优先考虑这些证据，但收录不代表攻击现在仍在持续，也不证明您的环境已受害。

QEPSS 和 CVSS 有何区别？
A

CVSS 基础分数表示严重程度。EPSS 是从评估日期起未来 30 天内在实际环境中观测到利用的估计概率，并非您的系统受害概率。还需确认产品、版本和暴露情况。

Q任何 CVE 都能查询吗？
A

本站优先读取数据库，缺失的信息再查询 NVD。本地没有记录或获取失败，均不能证明 KEV 未收录或没有影响。

相关页面