跳至主要內容
ITD網站資安平台
ITD
搜尋

CVE / KEV 查詢

輸入 CVE 編號，即可在一個頁面查看嚴重程度（CVSS）、被利用機率（EPSS）、是否已有實際利用確認（CISA KEV）以及修復線索。優先讀取本站自有的情報來源資料庫，沒有時再從 NVD/FIRST 取得。

執行查詢時，CVE 編號會傳送至本站，並在需要時傳送至 NVD、OSV.dev 和 FIRST 的公開 API。僅預填編號不會執行查詢。查詢編號可能保留在 URL、瀏覽器歷史紀錄及存取紀錄中。請勿輸入密碼、個人資料或憑證。

使用工具

傳送
將CVE編號傳送到本站伺服器
儲存
不儲存查詢內容（編號可能留在URL與紀錄中）
外部API
伺服器向NVD、OSV.dev、FIRST傳送CVE編號
對象
僅查詢公開的CVE編號
詳細說明
  • 執行查詢時，CVE編號會傳送到本站伺服器。伺服器查詢本站資料庫，並在需要時向NVD、OSV.dev、FIRST（EPSS）的公開API傳送CVE編號。
  • 查詢內容不會記錄到資料庫。CVE編號包含在URL中，因此可能留在瀏覽器紀錄與存取紀錄中。
  • 在結果頁面的版本、設定比對欄中輸入的值只在瀏覽器內處理。請勿輸入CVE編號以外的資訊（密碼、個人資料、認證資訊）。
  • 頁面本身的瀏覽會記錄在存取紀錄中（IP位址、時間、使用者代理等）。工具頁面不載入廣告與流量分析。 隱私權政策
試用範例（Log4Shell / CVE-2021-44228）CVE-2021-44228
CVE-2021-44228ITD DB已確認利用 (KEV)勒索軟體利用ITD 優先級: 緊急

NVD record state: Analyzed

This describes NVD analysis work, not whether your product/version is affected. Pending, unscheduled or missing analysis does not establish safety or lack of impact.

NVD state stored by this site; the latest state was not rechecked for this lookup.

Reported state: Analyzed

NVD record modification: 2026-06-17T04:12:05.460ZThis is not the retrieval or rejection time. Consult the original for the full change history.

Check the original NVD record

Stored description; verify against the original record

Apache Log4j2 2.0-beta9 through 2.15.0 (excluding security releases 2.12.2, 2.12.3, and 2.3.1) JNDI features used in configuration, log messages, and parameters do not protect against attacker controlled LDAP and other JNDI related endpoints. An attacker who can control log messages or log message parameters can execute arbitrary code loaded from LDAP servers when message lookup substitution is enabled. From log4j 2.15.0, this behavior has been disabled by default. From version 2.16.0 (along with 2.12.2, 2.12.3, and 2.3.1), this functionality has been completely removed. Note that this vulnerability is specific to log4j-core and does not affect log4net, log4cxx, or other Apache Logging Services projects.

NVD 官方
嚴重程度 (CVSS)
CVSS10.0v3.1

Stored representative assessment

Assessor: nvd@nist.gov / primary

Reported vector (score not recalculated): CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

被利用機率 (EPSS)
100.0%2026-11-10
EPSS 百分位
100.0%
KEV 收錄日
2021-12-10
修復期限
2021-12-24
公開日期
2021-12-10
Compare CVSS assessors, versions and vectors (3)

CVSS Base describes severity, not the probability your system is compromised. For NVD records the display policy is the latest available version, then Primary within that version, then reported order. This does not maximize scores or identify Primary as NVD. Examine the platform and vectors; do not average different assessments.

Assessments below are from a stored NVD record, not a current recheck or complete history. At most the first 16 per version. An assessor is not inferred for legacy representative-only data.

Missing, unsupported or invalid fields or row limits leave some assessments unverified. The displayed assessments may be incomplete.

  • CVSS 3.1 / 10.0

    Assessor: nvd@nist.gov / primary

    CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

  • CVSS 3.1 / 10.0

    Assessor: 134c704f-9b21-4f2e-91b3-4a467353bcc0 / secondary

    CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

  • CVSS 2.0 / 9.3

    Assessor: nvd@nist.gov / primary

    AV:N/AC:M/Au:N/C:C/I:C/A:CVector format checking is unsupported for this version; reported text is retained.

CISA KEV records confirmed real-world exploitation, not continuous attack monitoring or compromise of your environment. EPSS forecasts observed exploitation over the next 30 days from its evaluation date, not the probability your site is compromised. Percentile is relative rank; the trend shows earlier daily forecasts. Low EPSS does not cancel confirmed KEV evidence. A CISA catalog due date is not treated as a universal legal deadline.

EPSS 每日預測值歷史（最多 30 天）
7 天前 100.0% → 最新 100.0%(2026-11-10)
漏洞類型 (CWE)
  • CWE-20Improper Input Validation
  • CWE-400Uncontrolled Resource Consumption
  • CWE-502Deserialization of Untrusted Data
  • CWE-917Improper Neutralization of Special Elements used in an Expression Language Statement ('Expression Language Injection')
受影響的開源套件

選擇修補版本前，請核對套件、版本、發行分支、相容性及其他公告。較新版本不代表一定安全。範圍以各公告為準，不含作業系統發行版提供的套件。

  • Mavenorg.apache.logging.log4j:log4j-coreGHSA-jfh8-c2jp-5v3q
    受影響
    ECOSYSTEM: >= 2.13.0, < 2.15.0ECOSYSTEM: >= 2.0-beta9, < 2.3.1ECOSYSTEM: >= 2.4, < 2.12.2+ 33 個特定版本
    修補版本
    2.15.0, 2.3.1, 2.12.2
  • Mavenorg.ops4j.pax.logging:pax-logging-log4j2GHSA-jfh8-c2jp-5v3q
    受影響
    ECOSYSTEM: >= 1.8.0, < 1.9.2ECOSYSTEM: >= 1.10.0, < 1.10.8ECOSYSTEM: >= 1.11.0, < 1.11.10ECOSYSTEM: >= 2.0.0, < 2.0.11+ 39 個特定版本
    修補版本
    1.9.2, 1.10.8, 1.11.10, 2.0.11
  • Mavencom.guicedee.services:log4j-coreGHSA-jfh8-c2jp-5v3q
    受影響
    ECOSYSTEM: <= 1.2.1.2-jre17+ 362 個特定版本
    修補版本
    —
  • Mavenorg.xbib.elasticsearch:log4jGHSA-jfh8-c2jp-5v3q
    受影響
    1 個特定版本
    修補版本
    —
  • Mavenuk.co.nichesolutions.logging.log4j:log4j-coreGHSA-jfh8-c2jp-5v3q
    受影響
    1 個特定版本
    修補版本
    —

This product uses the NVD API but is not endorsed or certified by the NVD. Exploited-vulnerability data: CISA KEV (CC0). EPSS: see EPSS at https://www.first.org/epss. CWE™ is a trademark of The MITRE Corporation. Open source package data: OSV.dev / GitHub Advisory Database (CC BY 4.0).

使用方法

  1. 1

    輸入您關注的 CVE 編號（範例：CVE-2021-44228）。

  2. 2

    頁面會顯示 CVSS、EPSS、KEV（是否有利用確認）以及修復線索。

  3. 3

    透過「本站的解讀文章」或「NVD 官方」頁面進一步了解詳情。

為什麼重要

CVSS 表示「嚴重程度」，但是否會被利用是另一回事。把 EPSS（評估日期起未來 30 天的利用預測）與 CISA KEV（已實際觀測到的利用）一併查看，才能務實地判斷「是否需要立即修復」。本站將這三項（CVSS × EPSS × KEV）彙整到一個頁面。

常見問題

Q什麼是 KEV？
A

這是 CISA 收錄已確認在實際環境中被利用之弱點的目錄。應優先考慮這些證據，但收錄不代表攻擊現在仍在持續，也不證明您的環境已受害。

QEPSS 和 CVSS 有何區別？
A

CVSS 基礎分數表示嚴重程度。EPSS 是從評估日期起未來 30 天內在實際環境中觀測到利用的估計機率，並非您的系統受害機率。仍須確認產品、版本及暴露情況。

Q任何 CVE 都能查詢嗎？
A

本站優先讀取資料庫，缺少的資訊再查詢 NVD。本機沒有記錄或取得失敗，均不能證明 KEV 未收錄或沒有影響。

相關頁面