# Hook cvss: Vurder en CVSS v4.0-vektor

> Vurder én eller flere CVSS v4.0-vektorer fra kommandolinjen, med samme beregning som kalkulatoren til FIRST, og få hver av dem forklart med enkle ord.

Kanonisk URL: https://lagune.ai/no-NO/docs/hooks/cvss
Språk: no-NO
Original: https://lagune.ai/docs/hooks/cvss
Sist oppdatert: 2026-11-09

Hooken `cvss` vurderer en **CVSS v4.0-vektor** og skriver ut scoren og alvorlighetsgraden, den vurderingen [`/lagune-plan`](https://lagune.ai/no-NO/docs/commands/plan) skriver på hver utbedring og [`/lagune-prove`](https://lagune.ai/no-NO/docs/commands/prove) på hvert sikkerhetsvarsel. Den er den deterministiske motoren bak disse vurderingene, med samme beregning som [kalkulatoren til FIRST](https://www.first.org/cvss/calculator/4.0), og du kan kjøre den selv.

## Kjør

Send hver vektor med `--vector`. Hooken skriver ut én linje per vektor: scoren og alvorlighetsgraden.

**Én vektor**

```bash
npx lagune read cvss --vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N'
# => 9.3, Critical
```

**Flere vektorer**

Gjenta `--vector` for å vurdere flere samtidig, én linje hver, i samme rekkefølge.

```bash
npx lagune read cvss \
  --vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N' \
  --vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/MAV:A'
# => 9.3, Critical
# => 8.7, High
```

**Med enkle ord**

Legg til `--explain` for å få hver metrikk forklart med enkle ord. Når Threat- eller Environmental-metrikker endrer scoren, kommer Base-scoren alene først.

```bash
npx lagune read cvss --explain --vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/MAV:A'
# => 8.7, High
# =>   Base metrics alone: 9.3, Critical
# =>   Attack Vector: Network, modified to Adjacent
# =>   Attack Complexity: Low
# =>   ...
```

## Slik leser du resultatet

| Alvorlighetsgrad | Score        |
| ---------------- | ------------ |
| `None`           | 0.0          |
| `Low`            | 0.1 til 3.9  |
| `Medium`         | 4.0 til 6.9  |
| `High`           | 7.0 til 8.9  |
| `Critical`       | 9.0 til 10.0 |

En vektor med bare Base-metrikker vurderer selve sårbarheten og antar det verste: at hvert sikkerhetskrav er High, og at sårbarheten angripes i praksis. Environmental-metrikker (`MAV` og de andre modifiserte metrikkene, pluss `CR`, `IR` og `AR`) tilpasser den til én konkret utrulling, og Threat-metrikken (`E`) til det som er kjent om utnyttelse.

En ugyldig vektor skriver ut `invalid vector:` og hva som er galt, og hooken avslutter med en kode som ikke er null.

### CLI-alternativer

| Alternativ  | Verdi                | Beskrivelse                                                                            |
| ----------- | -------------------- | -------------------------------------------------------------------------------------- |
| `--vector`  | en `CVSS:4.0`-vektor | Vurder én vektor. Gjenta for å vurdere flere, én linje per vektor, i samme rekkefølge. |
| `--explain` |                      | Legg til hver metrikk med enkle ord under hver vurderingslinje.                        |

Minst én `--vector` er påkrevd. Vektoren er aldri et frittstående posisjonsargument, så den kan ikke forveksles med et flagg.

**Hvorfor en flaggverdi**

Hver vektor sendes som verdien til et flagg og interpoleres aldri inn i kommandoen. En verdi med anførselstegn eller backticks forblir uvirksom og kan ikke injisere noe i skallet. Sett den alltid i enkle anførselstegn, så skallet ditt ikke ekspanderer den først.

**Hva den ikke dekker**

Bare CVSS v4.0: en vektor i v2.0, v3.0 eller v3.1 avvises i stedet for å vurderes, siden **Lagune** vurderer hvert funn i v4.0.

**Tips**

Valideringen i fasen plan kjører den samme beregningen på nytt for hver CVSS-linje, så en score som har drevet bort fra vektoren sin, fanges opp før planen godtas.

## Vanlige spørsmål

### Hvordan beregner Lagune en CVSS-score?

Hooken cvss følger referansekalkulatoren til FIRST for CVSS v4.0, så en vektor får nøyaktig samme score som på nettstedet til FIRST.

### Kan jeg vurdere en CVSS v3.1-vektor med den?

Nei. Lagune vurderer hvert funn i CVSS v4.0, og hooken avviser alle andre versjoner i stedet for å vurdere dem.

### Hva gjør flagget --explain?

Det forklarer hver metrikk med enkle ord og viser Base-scoren ved siden av totalscoren, så alle kan se hva vektoren sier og hvordan prosjektets kontekst har endret den.