CVE nie jest automatycznie statusem produktu
Ten sam komponent może być obecny w wielu wydaniach, ale jego rzeczywisty wpływ zależy od wersji, użytej funkcji, konfiguracji i zabezpieczeń.
CVE ≠ automatycznie AFFECTED
Wykrycie identyfikatora podatności przy komponencie oznacza, że trzeba sprawdzić dopasowanie pakietu i wersji oraz kontekst użycia. Kod może nie występować w finalnym artefakcie, nie być osiągalny, wymagać nieobecnej konfiguracji albo być objęty skutecznym zabezpieczeniem. Każde takie twierdzenie potrzebuje dowodu.
Jak mapować stan oceny
| Stan operacyjny | Kiedy użyć | Co dalej |
|---|---|---|
| UNDER_INVESTIGATION | brakuje faktów lub dowodów | przypisz właściciela i zaplanuj analizę |
| AFFECTED | podatność wpływa na wydanie | remediation, mitigacja i osobny Article 14 Review |
| NOT_AFFECTED | analiza wyklucza wpływ | zachowaj uzasadnienie i evidence |
| FIXED | poprawka istnieje w wskazanym wydaniu | powiąż fixed release i testy |
NOT_AFFECTED wymaga uzasadnienia
- brak podatnego kodu w artefakcie
- podatna funkcja nie jest używana lub osiągalna
- wymagana konfiguracja albo środowisko nie występują
- kontrola kompilatora, runtime lub perimetru blokuje ścieżkę
- wyniki testów lub analizy potwierdzają stanowisko
Nie nadpisuj poprzedniego VEX
Nowa informacja, dodatkowy dowód albo poprawiony release powinny tworzyć następną wersję assessmentu i VEX. Historia musi pokazać, kto podjął decyzję, na jakich źródłach się opierał, kto ją zatwierdził i jaki dokument został zastąpiony.
VEX nie jest decyzją o zgodności ani zgłoszeniem
VEX dokumentuje stanowisko dotyczące wpływu podatności. Nie potwierdza zgodności produktu z CRA, nie jest opinią prawną i nie rozstrzyga samodzielnie, czy zachodzi obowiązek raportowania. Dla AFFECTED potrzebny jest odrębny Article 14 Reportability Review.
VEX i CRA – FAQ
Czy VEX jest wymagany przez CRA?
CRA wymaga skutecznej obsługi i dokumentowania podatności oraz komponentów, ale nie wskazuje VEX jako jedynego obowiązkowego formatu. VEX jest praktycznym sposobem przenoszenia wersjonowanego stanowiska o wpływie podatności.
Czy można wygenerować VEX bez human triage?
Nie powinno się tworzyć finalnego stanowiska wyłącznie z wyniku skanera. Source observation może rozpocząć analizę, ale status i uzasadnienie VEX wymagają oceny w kontekście produktu.
Oficjalne źródła
Podstawa materiału została sprawdzona 1 września 2026.