CVE бағалауы және CVE қауіпсіздігі заманауи бағдарламалық жасақтама қосымшаларын пайда болатын киберқауіптерден қорғау үшін өте маңызды. Осалдықтарды тиімді анықтау және басымдық беру ұйымдарға ең маңызды тәуекелдерді алдымен шешуге мүмкіндік береді. CVE бағалауы мынаны қамтамасыз етеді standardосалдықтарды ауырлығы бойынша жіктеудің арнайы тәсілі, ал CVE қауіпсіздік тәжірибелері бұл тәуекелдерді дұрыс басқаруды және азайтуды қамтамасыз етеді.
2025 жылы 48 185 CVE жарияланды, 2024 жылғы 39 962 жағдаймен салыстырғанда 20.6%-ға өсті, ал 38%-ы жоғары немесе сыни деңгейдегі ауырлық дәрежесіне ие болды. Көлемнің осылай тез өсуіне байланысты күшті CVE баллы мен қауіпсіздік стратегиясына ие болу енді міндетті емес; бұл қажеттілік.
Үлкен мәселе тек көлемде ғана емес, дәстүрлі талдаудың оған ілесе алмауында. NIST-тің NVD бағдарламасы 2025 жылы шамамен 42 000 CVE-ді байытты, бұл алдыңғы жылмен салыстырғанда 45%-ға көп, бірақ бұл әлі де өсіп келе жатқан ұсыныстарға ілесу үшін жеткіліксіз болды. Тікелей нәтиже ретінде, 2025 жылы жаңадан ашылған CVE-лердің тек 28%-ы ғана NVD-ді толық байытуды алды (CVSS ұпайы, CWE жіктемесі, CPE деректері), бұл 2024 жылғы 46.2%-дан күрт төмендеді. Бұл сандар ұйымдардың тек NVD деректерінің уақытында келуіне ғана сенудің орнына өздерінің CVE қауіпсіздік шараларын енгізу қажеттілігінің артып келе жатқанын көрсетеді.
CVE бағалауы дегеніміз не және ол CVE қауіпсіздігі үшін неліктен маңызды?
CVE жалпыға қолжетімді киберқауіпсіздік осалдықтары мен әсерлерінің тізімі болып табылатын Common Vulnerabilities and Exposures дегенді білдіреді. CVE тізіміндегі әрбір жазба CVE ID деп аталатын бірегей идентификаторға ие болады, ол осалдыққа нақты сілтеме жасайды. MITER корпорациясы бұл жүйені басқарады, standardосалдықтардың қалай анықталатынын және каталогталатынын анықтау. Бұл киберқауіпсіздік саласындағы әрбір адамның нақты қауіптерді талқылаған кезде бірдей сілтемені пайдалануын қамтамасыз етеді.
CVE бағалауы әрбір CVE жазбасын бағалауды және оның ауырлығына негізделген сандық балл беруді қамтиды. Бұл балл ұйымдарға осалдықты жоюдың басымдық деңгейін анықтауға көмектеседі.
Бұл оларға ресурстарды тиімді бөлуге және ықтимал тәуекелдерді азайтуға мүмкіндік береді. CVE бағалау жүйесі пайдаланудың қарапайымдылығы сияқты факторларды бағалайды. Сондай-ақ, құпиялылыққа, тұтастыққа және қолжетімділікке әсерін ескереді (көбінесе «ЦРУ триадасы» деп аталады). Сонымен қатар, ол қалпына келтіру мүмкіндігін бағалайды.
NVD, MITER CVE тізімі және CVE баллдары қалай бірге жұмыс істейді
Ұлттық осалдық дерекқоры (ҰОД) арасындағы байланысты түсіну, MITR тізімі, және CVE қауіпсіздігі киберқауіпсіздік экожүйесіндегі осалдықтарды қалай басқару керектігін түсіну үшін өте маңызды.
MITER CVE тізімі осалдықтарды анықтаудан және оларға CVE идентификаторын беруден басталады. Дегенмен, бұл тізім әрбір осалдық туралы тек негізгі ақпаратты береді. NVD басқарады Ұлттық институты Standardжәне технология (NIST), бұл деректерді егжей-тегжейлі сипаттамалар, сілтемелер және ең бастысы, CVE бағалауы арқылы байытады. Жалпы осалдықты бағалау жүйесі (CVSS).
NVD негізгі ресурс болып табылады, себебі ол қойма ретінде қызмет етеді standards негізіндегі осалдық деректері, бұл ұйымдарға осалдықтың әсерін жан-жақты түсінуге көмектеседі. NVD тек CVSS ұпайларын ғана емес, сонымен қатар келесідей терең ақпаратты да қамтиды:
- Егжей-тегжейлі сипаттамалар әрбір осалдықтың, соның ішінде техникалық мәліметтердің және осалдықты пайдалану мүмкін болатын контексттің.
- Әсер ету көрсеткіштері осалдықтың ұйым жүйесінің әртүрлі бөліктеріне қалай әсер етуі мүмкін екенін көрсететін деректер.
- Қалпына келтіру туралы ақпарат мысалы, патчтарға, кеңестерге және жеңілдету шараларына сілтемелер.
Кешенді сипатына байланысты, NVD ұйымдар үшін осалдықтың нақты әлемдегі әсерін бағалау және оны қалай тиімді шешу керектігін түсіну қажет болған кезде негізгі ақпарат көзі болып табылады.
CVSS: Киберқауіпсіздіктегі ең көп таралған CVE бағалау жүйесі
CVE бағалаудың ең кең таралған әдісі - Жалпы осалдықты бағалау жүйесі (CVSS)Оқиғаларға әрекет ету және қауіпсіздік топтары форумы (FIRST) қолдайды және әзірлейді. CVSS ұсынады standardосалдықтардың ауырлығын өлшеудің кеңейтілген тәсілі, бұл ұйымдарға қайсысын бірінші кезекте шешу керектігін анықтауды жеңілдетеді.
Нақтырақ айтқанда, CVSS осалдықтарды 0-ден 10-ға дейінгі шкала бойынша бағалайды. Мұнда 0 тәуекелдің жоқтығын, ал 10 ең жоғары ауырлық деңгейін білдіреді. Сонымен қатар, бағалау төрт негізгі метрикалық топқа негізделген:
Негізгі ұпай:
Бұл уақыт өте келе және пайдаланушы орталарында тұрақты болып табылатын осалдықтың ішкі сипаттамаларын көрсетеді. Негізгі балл пайдалану мүмкіндігі сияқты факторларды ескереді. Бұл осалдықты пайдаланудың қаншалықты оңай екенін білдіреді. Сондай-ақ, ол құпиялылыққа, тұтастыққа және қолжетімділікке әсерін бағалайды.
Уақытша балл:
Бұл базалық ұпайды уақыт өте келе өзгеретін факторларға, мысалы, түзетудің қолжетімділігіне немесе эксплойттың белсенді түрде пайдаланылып жатқанына байланысты реттейді. Уақытша көрсеткіштерге эксплойт кодының жетілуі, қалпына келтіру деңгейі және есеп сенімділігі кіреді.
Экологиялық балл:
Бұл ұйымдарға CVSS ұпайын өздерінің нақты ортасындағы осалдықтың әсерін көрсету үшін реттеуге мүмкіндік береді. Ол зардап шеккен жүйенің маңыздылығы және ықтимал жанама залал сияқты факторларды ескереді.
Қосымша метрикалық топ:
Ол CVSS v4.0 нұсқасында енгізілген және жалпы тәуекелді бағалауға әсер етуі мүмкін қосымша контекст ұсынады. Бұған қауіпсіздік талаптары, автоматтандырылатын көрсеткіштер (автоматтандырудың пайдалануға қалай әсер ететінін өлшейді) және басқа көрсеткіштер топтарына сәйкес келмеуі мүмкін бірегей сипаттамалар сияқты мәселелер кіреді. Жалпы CVSS ұпайы бұл көрсеткіштерді қамтымаса да, олар құнды түсініктер береді. Нәтижесінде, олар ұйымдарға ақпараттандырылған ақпарат беруге көмектеседі.cisосалдықтарды басқару туралы ойлар.
Соңғы нұсқасы, CVSS нұсқасы 4.0, Осалдықтарды бағалаудың дәлдігі мен пайдалану ыңғайлылығын жақсарту үшін осы жақсартуларды енгізеді. Метрикаларды нақтылау арқылы CVSS v4.0 осалдықтардың күрделілігі мен мәнмәтінін тиімдірек көрсетеді. Бұл ұпайлардың алдын ала ақпарат беруін қамтамасыз етеді.cisнақты тәуекелдің көрінісі.
Нақты әлемдегі мысал: CVE-2021-44228 (Log4Shell)
CVE бағалауының іс жүзінде қалай жұмыс істейтінін көрсету үшін, әдетте Log4Shell ретінде белгілі CVE-2021-44228 қарастырайық. Apache Log4j 2 кітапханасының осалдығы қашықтан кодты орындауға (RCE) мүмкіндік береді. Нәтижесінде, шабуылдаушы зардап шеккен жүйені басқаруды басып ала алады.
- CVE идентификаторы: CVE-2021-44228
- CVSS базалық ұпайы: 10.0 (Критикалық)
- Шабуыл векторы: Желі (N) – Қашықтан пайдалануға болады.
- Шабуылдың күрделілігі: Төмен (L) – Пайдалану оңай.
- Қажетті артықшылықтар: Жоқ (N) – Артықшылықтар қажет емес.
- Пайдаланушы әрекеттесуі: Жоқ (N) – Пайдаланушының өзара әрекеттесуі қажет емес.
- Қолдану аясы: Өзгертілген (C) – Бастапқы ауқымынан тыс ресурстарға әсер етеді.
- Құпиялылық, тұтастық, қолжетімділік әсері: Жоғары (H) – Құпиялылықтың, тұтастықтың және қолжетімділіктің толық бұзылуы.
NVD CVSS бойынша 10.0 балл берді, бұл ең жоғары ауырлық деңгейін көрсетеді. Бұл осалдықтың кең таралған сипаты, пайдаланудың қарапайымдылығымен бірге, оны бүкіл әлем бойынша қалпына келтірудің басты басымдығына айналдырды.
CVE бағалауындағы қиындықтар және олардың CVE қауіпсіздігіне әсері
Дегенмен Жалпы осалдық және осалдықтар (ЖОО) жүйе ұсынады standardОсалдықтарды анықтау және бақылаудың кеңейтілген тәсілі болғанымен, тәуекелдерді басқарудағы тиімділігіне бірнеше шектеулер әсер етеді.
CVE-2021-44228 (Log4Shell) бұл қиындықтарды көрсетеді:
- Пайдалану туралы шектеулі мәліметтер: CVE-2021-44228 бірегей идентификаторды ұсынады, бірақ шабуылдаушылар оны қалай пайдалануы мүмкін екендігі туралы толық мәліметтер жоқ. Сарапшылар оны маңызды деп санағанымен, CVE жазбасы шабуылдаушылар қолданатын нақты әдістерді немесе осалдықты арттыратын нақты конфигурацияларды толық түсіндірмейді. Бұл олқылық ұйымдарды нақты әлемдегі тәуекелге қатысты сенімсіздікке қалдырады.
- Есеп берудегі өзгергіштік: CVE жазбалар мазмұны мен сапасы жағынан кеңінен ерекшеленеді. Кейбіреулері, мысалы CVE-2021-44228, егжей-тегжейлі сипаттамалар мен техникалық ақпарат ұсынады, ал басқалары қысқа немесе толық емес болып қалады. Бұл сәйкессіздік ұйымдарға осалдықтың тәуекелін тек оның CVE жазбасына негіздеп бағалауға тырысқанда қиындықтар туғызады.
- Контекстік өзектіліктің болмауы: CVE жазбалар пайдаланады standardәртүрлі орталардың нақты контекстін көрсетпеуі мүмкін өзгертілген формат. Мысалы, CVE-2021-44228 компанияның инфрақұрылымына байланысты жүйелерге әртүрлі әсер етеді. Бұл сәйкессіздік CVE мәліметтері нақты ортаға сәйкес келмесе, тәуекелдерді дұрыс емес бағалауға әкеледі.
- Ақпаратты ашудағы кідіріс: Осалдықты анықтау мен оны CVE дерекқорына қосу арасында жиі кідіріс болады. Бұл олқылық кезінде шабуылдаушылар келесідей осалдықтарды пайдалануы мүмкін: CVE-2021-44228 олар көпшілікке жарияланғанға дейін, бұл хабардарлық пен қалпына келтірудегі кідірістерге байланысты тәуекелді арттырады.
- Белгілі осалдықтарға назар аударыңыз: CVE жазбалар тек жария етілген осалдықтарды қамтиды, бұл нөлдік күндік осалдықтарды және жарияланбаған қауіптерді ескермейді. Тек сүйенеді CVE ұйымдарды дерекқор әлі каталогтандырмаған жаңа қауіптерге ұшыратады.
- Жазбалардың сапасының сәйкессіздігі: Сапасы CVE жазбалар дереккөзге байланысты өзгереді. Кейбіреулері, мысалы CVE-2021-44228, жаңа мәліметтермен үнемі жаңартулар алып отырады, ал басқалары статикалық болып қалады, бұл сәйкессіздіктерге және деректердегі ықтимал олқылықтарға әкеледі.
- NVD байыту бағдарламасының артта қалуы: Тіпті CVE жарияланғаннан кейін де, оның тез арада бағаланатынына кепілдік жоқ. 2024-2025 жылдар аралығындағы 54 914 CVE толық талдауды күтіп, NVD кезегінде қалды. 2026 жылдың сәуірінде NIST енді CVE үшін тек жедел байытуға басымдық беретінін мәлімдеді. CISA-ның белгілі пайдаланылатын осалдықтары (KEV) каталогы, федералды үкіметте қолданылатын бағдарламалық жасақтама және 14028 атқарушы бұйрықта анықталғандай маңызды бағдарламалық жасақтама. Қалғанының бәрі ең жақсы күш-жігер негізінде байытылған, яғни көптеген ұйымдар енді CVSS ұпайы ең қажет болған кезде қолжетімді болады деп болжай алмайды.
EPSS: Осалдықты кешенді басқару үшін CVE қауіпсіздігін жақсарту
CVE-2021-44228 сонымен қатар қай жерде екенін көрсетеді Жалпы осалдықты бағалау жүйесі (CVSS)сенімді болғанымен, кемшіліктері бар. Бұл кемшілік маңыздылығын көрсетеді Эксплойт болжау балл жүйесі (EPSS).
EPSS дегеніміз не?
EPSS сияқты осалдықтарды пайдалану ықтималдығын болжау үшін деректерге негізделген құрылымды пайдаланады. CVE-2021-44228 келесі 30 күн ішінде. Ұқсас емес CVSSықтимал әсерді өлшейтін, EPSS тарихи деректер мен үрдістерге сүйене отырып, пайдалану ықтималдығын бағалайды.
Неліктен EPSS маңызды?
- Басымдылықты арттыру: EPSS ұйымдарға осалдықтарды тек ауырлығына ғана емес, сонымен қатар пайдалану ықтималдығына да негіздеп басымдық беруге мүмкіндік береді. Мысалы, қауіпсіздік топтары мұны білген кезде CVE-2021-44228 пайдалану ықтималдығы жоғары болғандықтан, олар қалпына келтіру жұмыстарын ең қажет жерлерге шоғырландырады.
- Проактивті қорғаныс: EPSS қауіпсіздік топтарына пайдаланылуы мүмкін осалдықтарға қарсы алдын алу шараларын қабылдауға мүмкіндік береді, бұл сәтті шабуылдар қаупін азайтады.
- Контекстік ДеcisИон түзу: EPSS қосымша контекст ұсынады CVSS шабуылдаушылар белсенді түрде нысанаға алатын осалдықтарды анықтау сияқты жалғыз өзі сәтсіздікке ұшырауы мүмкін. Бұл ақпараттандырылған және стратегиялық шешімге әкеледіcisион түзу.
- Ресурстарды оңтайландыру: Ресурстары шектеулі ұйымдар үшін, EPSS күш-жігерді ең үлкен қауіп төндіретін осалдықтарға тиімді бөлуге көмектеседі, бұл қорғаныс стратегиясының тиімдірек болуын қамтамасыз етеді.
EPSS шектеулері
Артықшылықтарына қарамастан, EPSS шектеулері бар. Ол тарихи деректерге сүйенеді, олар әрқашан ағымдағы қауіп ландшафтын көрсете бермеуі мүмкін. Оның 30 күн ішінде пайдалануды болжауға қысқа мерзімді назар аударуы ұзақ мерзімді қауіптерді елемеуі мүмкін.
EPSS жеке орталардың нақты контекстін ескермей жалпы түсініктер береді. Соңында, бұл шабуыл техникаларындағы жылдам өзгерістерді немесе жаңадан табылған осалдықтарды көрсетпеуі мүмкін бұрынғы пайдалану үлгілеріне байланысты.
Оңтайлы осалдықты басқару үшін CVE және EPSS теңгерімін сақтау
Осалдықтарды тиімді басқару үшін ұйымдар екеуінің де шектеулерін түсініп, шешуі керек CVSS және EPSSБұл құралдарды біріктіру осалдық ландшафтын жан-жақты қарастыруға мүмкіндік береді. Бұл тәсіл ауырлықты пайдалану ықтималдығымен теңестіреді, бұл басымдықты жақсырақ анықтауға, хабардар етуге әкеледі.cisион түзу және киберқауіпсіздік нәтижелерін жақсарту.
Маңызды осалдықтарға басымдық беру мәселесін шешеді
Бұл блогта біз CVE бағалауының күрделілігін, Ұлттық осалдық дерекқорының (NVD) маңызды рөлін және пайдалануды болжау бағалау жүйесі (EPSS) сияқты құралдардың пайдалану ықтималдығын болжау арқылы осалдықты басқаруға тереңдік қосатынын зерттедік. Дегенмен, осалдықтарды тиімді басқару тек осы ұғымдарды түсінуден де көп нәрсені талап етеді - бұл сіздің ұйымыңыздың нақты қауіпсіздік қажеттіліктеріне бейімделетін кешенді тәсілді қажет етеді.
Шамамен 176 000 белгілі осалдық, 19 000-нан астамы CVSS бойынша 9.0-10.0 баллға ие, бұл маңызды тәуекелдерді білдіреді. Дегенмен, көпшілігі - шамамен 77.5% - 4.0-ден 8.0-ге дейінгі орташа баллға ие. Бұл кең таралу қиындықты көрсетеді: қандай осалдықтарды бірінші кезекте шешу керектігін және қорғанысты сақтай отырып, шектеулі ресурстармен қалай істеу керектігін анықтау.
Xygeni бағдарламалық жасақтамасының құрамын талдау (SCA) Шешім CVE бағалауын EPSS және басқа контекстік құралдармен біріктіру арқылы бұл мәселені шешеді, бұл сізге осалдық ландшафтыңыздың толық көрінісін береді. Біздің шешіміміз сіздің код базаңызды NPM, GitHub және OWD сияқты бірнеше көздерден мұқият сканерлейді, бұл сіздің кез келген ықтимал қауіпсіздік қатерлерін жіберіп алмауыңызды қамтамасыз етеді.
Xygeni қалай SCA Шешім CVE баллын іс-әрекетке айналдырады
2025 жылы жарияланған 48 185 CVE-нің 38%-ы жоғары немесе сыни дәрежедегі ауырлық дәрежесіне ие болды, ал жыл бойы CVSS орташа ұпайы 6.60 болды. Бұл бірдей шектеулі қалпына келтіру ресурстары үшін бәсекелесетін көптеген «сыни» және «жоғары» белгілер, және бұл 2025 CVE-нің тек 28%-ы ғана бастапқыда толық NVD байытуын алғанын ескермес бұрын.
Xygeni бағдарламалық жасақтамасының құрамын талдау (SCA) Шешім CVE бағалауын EPSS және қосымша контекстік сигналдармен біріктіру арқылы бұл мәселені шешеді, бұл сізге NVD берілген CVE-ні байытуға үйренгеніне қарамастан, осалдық ландшафтыңыздың толық көрінісін береді. Ол сіздің код базаңызды npm, GitHub және басқа ашық бастапқы кодты тізілімдерде сканерлейді, сондықтан ештеңе байқалмай қалмайды.
Міне, ол сіздің осалдықты басқару стратегияңызды қалай толықтырады:
- CVE баллын есептеу + EPSS интеграциясы. Ауырлық дәрежесін (CVSS) пайдалану ықтималдығымен (EPSS) біріктіру сіздің командаңыздың қағаз жүзінде ең жоғары баға алған нәрсені емес, алдымен табиғатта шынымен пайдаланылып жатқан нәрсені түзететінін білдіреді.
- Қолжетімділікті талдау. Xygeni «бұл CVE сіздің тәуелділік ағашыңызда бар» дегенмен шектелмейді. Ол осал код жолына қолданбаңызда шынымен қол жеткізуге болатынын анықтайды, шуды айтарлықтай азайтады және қалпына келтіруді пайдаланылатын тәуекелге бағыттайды.
- Контекстуалды хабардарлық. Бірнеше кеңес беру көздерінен және бір уақытта бағалау жүйелерінен бас тарту арқылы Xygeni барлығына бірдей ауырлық баллын қолданудың орнына ұйымыңыздың нақты ортасына бейімделеді.
- Үздіксіз мониторинг және нақты уақыт режиміндегі ескертулер. Жаңа CVE және жаңа EPSS ұпайлары үнемі жарияланып отырады. Xygeni үздіксіз бақылап отырады, сондықтан кеше маңызды емес болған және бүгін белсенді түрде пайдаланылып келе жатқан осалдық назардан тыс қалмайды.
Нәтиже: Жаңа CVE-лердің үштен бірінен астамы қазірдің өзінде жоғары немесе сыни деп белгіленгендіктен және NVD байыту жыл сайын артта қалып отырғандықтан, әрбір нәтижені қолмен сұрыптау шындыққа жанаспайды. Xygeni сіздің командаңызға ортаңызда ауыр және шынымен пайдалануға болатын шағын бөлікке назар аударуға көмектеседі.
көрсетілімді сұрау or тегін бастаңыз Xygeni компаниясының CVE баллын қалай басымдыққа ие, іс жүзінде қолдануға болатын осалдықтарды басқару стратегиясына айналдыратынын көру үшін.
Жиі қойылатын сұрақтар
CVE, CVSS және NVD арасындағы айырмашылық неде?
CVE - белгілі бір осалдықтың бірегей идентификаторы. CVSS (Осалдықтың жалпы бағалау жүйесі) - бұл осалдықтың ауырлығын 0-ден 10-ға дейін бағалау үшін қолданылатын бағалау жүйесі. NVD (Ұлттық осалдық дерекқоры) - NIST жүргізетін, әрбір CVE-ні CVSS ұпайымен, сипаттамаларымен және қалпына келтіру сілтемелерімен байытатын репозиторий.
EPSS дегеніміз не және ол CVSS-тен қалай ерекшеленеді?
EPSS (Exploit Prediction Scoring System) нақты әлемдегі пайдалану деректеріне сүйене отырып, келесі 30 күнде осалдықтың пайдаланылу ықтималдығын бағалайды. CVSS әлеуетті өлшейді ауырлығы пайдаланылған жағдайда; EPSS өлшейді ықтималдығы пайдалану. Екеуін бірге пайдалану, екеуін де жеке пайдаланумен салыстырғанда, әлдеқайда дәл басымдық сигналын береді.
Неліктен жоғары емес CVSS ұпайы осалдықты басымдыққа қою үшін жеткілікті ме?
CVSS ұпайы нақты әлемдегі тәуекелді емес, теориялық ауырлықты көрсетеді. Сіздің нақты код базаңызда қол жеткізу мүмкін емес немесе белсенді пайдалануы белгілі емес «маңызды» 9.8 ұпайлық осалдық шабуылдаушылар қазір белсенді түрде пайдаланып жатқан «орташа» осалдыққа қарағанда төмен басымдыққа ие болуы мүмкін. Сондықтан CVSS-ті EPSS-пен және қолжетімділікті талдаумен жұптастыру маңызды.
Жыл сайын қанша CVE жарияланады?
CVE көлемі жыл сайын тұрақты түрде өсіп келеді, жыл сайын ондаған мың жаңа осалдық анықталады. Осы масштабты ескере отырып, қолмен сұрыптау көптеген ұйымдар үшін шындыққа жанаспайды, сондықтан автоматтандырылған, контекстке бейімделген басымдық беру (CVSS + EPSS + қолжетімділік) маңызды болып келеді.
CVE-2021-44228 (Log4Shell) дегеніміз не және ол неліктен мысал ретінде пайдаланылады?
Log4Shell - Apache Log4j 2 жүйесіндегі маңызды қашықтан кодты орындау осалдығы, CVSS бойынша 10.0 (максимум) балл алды. Ол оқыту мысалы ретінде кеңінен қолданылады, себебі ол желіге негізделген пайдалануды, артықшылықтарды қажет етпеуді және пайдаланушымен өзара әрекеттесуді біріктіреді, бұл CVSS құрылымында «маңызды» дегеннің қалай көрінетінін дәл көрсетеді.
