CVE
該標籤下有 9 篇文章
先修哪個 CVE？CVSS、EPSS、KEV 各自衡量什麼
CVSS 是嚴重程度，EPSS 是被利用的機率，KEV 是已確認被利用的事實，三者不能互相取代。本站對全部 1,695 個 KEV 條目的統計：64% 低於 CVSS 9，24% 低於 EPSS 0.1——「只修高分」和「EPSS 低就先放著」在實際資料面前都會失效。依 KEV → 高 EPSS → 高 CVSS 排序，再用你自己的暴露面來訂期限。
Next.js 和 React 的漏洞很多嗎？CVE 資料實際顯示的情況
資料顯示，React 核心幾乎沒有 CVE，而 Next.js 的 CVE 數量很多且持續增加。重要的是它們出現在哪裡：集中在 middleware、快取、圖片最佳化和 Server Actions，CWE 以 SSRF、反序列化和授權繞過為首。本站的結論：不應該只把 Next.js 當成前端框架。它是以伺服器的形式執行的，所以要像防禦伺服器一樣防禦它：在存取資料前再次授權、為對外請求設定允許清單、讓 Server Action 端點受到驗證保護。
漏洞（CVE）處置實務：徹底修復，並持續監控復發
漏洞處置不是『修了』就完事。完成＝①掃描②修復③隔離/移交④監控四點齊備才算數。尤其在加上監控（每日變化偵測）之前都算未完成——因為相依套件明天又可能變得脆弱。修復內容哪怕100分，只要下一次部署就被覆蓋，也等於0分。越是小團隊，越能靠自動變化偵測和『local→push→deploy』的紀律守得出奇地穩。
osv-scanner 的安裝與使用：自動找出相依套件裡的 CVE
osv-scanner 是一款免費工具，掃描鎖定檔或容器以排查相依套件中的 CVE。本文把安裝、執行、CI 整合做成步驟，並理清它與 npm/pnpm audit、Dependabot 的取捨。本站的觀點＝哪個工具合適取決於你的架構。多語言混用或不依賴 GitHub 就用 osv-scanner，單一 npm 用內建的 pnpm audit 就夠了。
什麼是 CVE？給漏洞分配全球通用識別碼的機制
CVE 是給漏洞分配的全球通用識別編號（例如 CVE-2025-12345）。它讓所有人能用同一個名字引用同一個漏洞，是對策與監控的起點。CVE＝名字、CVSS＝嚴重程度、KEV＝是否正被利用，職責各不相同。對個人而言，用機器監控來追蹤才實際。
什麼是 RCE（遠端程式碼執行）——為什麼它是最糟一類的漏洞
RCE 是一種讓攻擊者能在伺服器上執行任意程式碼的漏洞。它不止於資訊外洩，而是直接通向被接管，屬於最糟一類。被害範圍由「該程序的權限」決定。防禦的關鍵在於迅速更新、CVE 監控、最小權限。
Equifax 資訊外洩事件（2017）——未修補的 Apache Struts 導致 1.47 億人外洩的原因與防禦
原因是『把已經發布修復修補程式的已知 CVE（CVSS 10.0）沒有套用到公開系統上』。監控設備因憑證失效導致長達 76 天都沒察覺資料外帶，使損失擴大。在你的環境裡，要用資產盤點、修補 SLA、機器監控、偵測健全性來防止重演。
Log4Shell（CVE-2021-44228）——日誌函式庫的漏洞，以及為何團隊無法迅速確認自己是否在用
Log4j 的漏洞（CVSS 10.0）。核心問題在於經由間接相依（傳遞性相依），在不知不覺中正在使用。日誌輸出這一被動處理成了攻擊通道。SBOM 與相依套件的機器化監控、迅速修補、對後續 CVE 的追蹤，都是教訓所在。
安全維運 Next.js：建立不在已公開 CVE 上掉隊的機制
框架的最大風險是放任已公開的 CVE。以四項做法防守：以實際執行的版本判定、用 Dependabot/osv-scanner 監控、迅速更新、以最小權限執行。本站的看法：個人開發者通常欠缺的不是知識，而是讓維運持續下去的方法；不漏看 CVE 的機制比速度更重要。