يقيّم hook cvss متجه CVSS v4.0 ويطبع درجته ونطاق خطورته، وهو التقييم الذي يكتبه /lagune-plan على كل إصلاح و /lagune-prove على كل نشرة أمنية. وهو المحرك الحتمي خلف هذه التقييمات، بالحساب نفسه الذي تستخدمه حاسبة FIRST، ويمكنك تشغيله بنفسك.

التشغيل

مرّر كل متجه عبر --vector. يطبع hook سطرًا واحدًا لكل متجه: درجته ونطاقه.

متجه واحد

npx lagune read cvss --vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N'
# => 9.3, Critical

عدة متجهات

كرّر --vector لتقييم عدة متجهات دفعة واحدة، بسطر لكل منها، بالترتيب.

npx lagune read cvss \
  --vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N' \
  --vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/MAV:A'
# => 9.3, Critical
# => 8.7, High

بكلمات بسيطة

أضف --explain لقراءة كل مقياس بكلمات بسيطة. وحين تغيّر مقاييس Threat أو Environmental الدرجة، تأتي درجة Base وحدها أولًا.

npx lagune read cvss --explain --vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/MAV:A'
# => 8.7, High
# =>   Base metrics alone: 9.3, Critical
# =>   Attack Vector: Network, modified to Adjacent
# =>   Attack Complexity: Low
# =>   ...

كيف تقرأ النتيجة

النطاق	الدرجة
None	0.0
Low	من 0.1 إلى 3.9
Medium	من 4.0 إلى 6.9
High	من 7.0 إلى 8.9
Critical	من 9.0 إلى 10.0

المتجه الذي لا يحتوي إلا على مقاييس Base يقيّم الخلل نفسه، مفترضًا الأسوأ: كل متطلب أمني High والخلل مُستغَل فعليًا. وتضبطه مقاييس Environmental (MAV وباقي المقاييس المعدّلة، إضافة إلى CR و IR و AR) لبيئة نشر واحدة، ويضبطه مقياس Threat (E) وفق ما هو معروف عن الاستغلال.

المتجه غير الصالح يطبع invalid vector: وما الخطأ فيه، وينتهي hook برمز خروج غير صفري.

خيارات CLI

الخيار	القيمة	الوصف
--vector	متجه CVSS:4.0	قيّم متجهًا واحدًا. كرّره لتقييم عدة متجهات، بسطر لكل متجه، بالترتيب.
--explain		يضيف كل مقياس بكلمات بسيطة تحت كل سطر تقييم.

يلزم --vector واحد على الأقل. ولا يكون المتجه أبدًا وسيطًا موضعيًا مجردًا، لذلك لا يمكن الخلط بينه وبين خيار.

لماذا قيمة خيار

يُمرَّر كل متجه كقيمة خيار، ولا يُدمج في الأمر أبدًا. فالقيمة التي تحتوي على علامات اقتباس أو backticks تبقى خاملة ولا يمكنها الحقن في الصدفة. ضعه دائمًا بين علامتي اقتباس مفردتين حتى لا توسّعه الصدفة أولًا.

ما لا يغطيه

CVSS v4.0 فقط: يُرفض متجه v2.0 أو v3.0 أو v3.1 بدلًا من تقييمه، لأن Lagune يقيّم كل ملاحظة وفق v4.0.

تلميح

يعيد التحقق في مرحلة plan تشغيل الحساب نفسه على كل سطر CVSS، فتُكتشف الدرجة التي انحرفت عن متجهها قبل قبول الخطة.

الأسئلة الشائعة

يتبع hook cvss الحاسبة المرجعية من FIRST لمعيار CVSS v4.0، لذلك يحصل المتجه على الدرجة نفسها تمامًا التي يحصل عليها في موقع FIRST.

لا. يقيّم Lagune كل ملاحظة وفق CVSS v4.0، ويرفض hook أي إصدار آخر بدلًا من تقييمه.

يقرأ كل مقياس بكلمات بسيطة ويعرض درجة Base بجانب الدرجة الإجمالية، فيستطيع أي شخص رؤية ما يقوله المتجه وكيف غيّره سياق المشروع.