# Хук cvss: оценка вектора CVSS v4.0

> Оценивайте один или несколько векторов CVSS v4.0 из командной строки по той же арифметике, что и калькулятор FIRST, и читайте каждый из них простыми словами.

Канонический URL: https://lagune.ai/ru-RU/docs/hooks/cvss
Язык: ru-RU
Оригинал: https://lagune.ai/docs/hooks/cvss
Последнее обновление: 2026-11-03

Хук `cvss` оценивает **вектор CVSS v4.0** и выводит его оценку и диапазон критичности, ту оценку, которую [`/lagune-plan`](https://lagune.ai/ru-RU/docs/commands/plan) пишет у каждого исправления, а [`/lagune-prove`](https://lagune.ai/ru-RU/docs/commands/prove) в каждом бюллетене. Это детерминированный движок, стоящий за этими оценками, с той же арифметикой, что и [калькулятор FIRST](https://www.first.org/cvss/calculator/4.0), и вы можете запускать его сами.

## Запуск

Передайте каждый вектор через `--vector`. Хук выводит по одной строке на вектор: его оценку и диапазон.

**Один вектор**

```bash
npx lagune read cvss --vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N'
# => 9.3, Critical
```

**Несколько векторов**

Повторите `--vector`, чтобы оценить несколько сразу, по одной строке на каждый, по порядку.

```bash
npx lagune read cvss \
  --vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N' \
  --vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/MAV:A'
# => 9.3, Critical
# => 8.7, High
```

**Простыми словами**

Добавьте `--explain`, чтобы прочитать каждую метрику простыми словами. Если метрики Threat или Environmental сдвигают оценку, сначала выводится одна только оценка Base.

```bash
npx lagune read cvss --explain --vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/MAV:A'
# => 8.7, High
# =>   Base metrics alone: 9.3, Critical
# =>   Attack Vector: Network, modified to Adjacent
# =>   Attack Complexity: Low
# =>   ...
```

## Как читать результат

| Диапазон   | Оценка         |
| ---------- | -------------- |
| `None`     | 0.0            |
| `Low`      | от 0.1 до 3.9  |
| `Medium`   | от 4.0 до 6.9  |
| `High`     | от 7.0 до 8.9  |
| `Critical` | от 9.0 до 10.0 |

Вектор только с метриками Base оценивает саму уязвимость, исходя из худшего: каждое требование безопасности High, а уязвимость атакуют в реальном мире. Метрики Environmental (`MAV` и остальные измененные метрики, а также `CR`, `IR` и `AR`) уточняют оценку для конкретного развертывания, а метрика Threat (`E`) для того, что известно об эксплуатации.

Для некорректного вектора выводится `invalid vector:` и описание ошибки, а хук завершается с ненулевым кодом.

### Параметры CLI

| Параметр    | Значение          | Описание                                                                                          |
| ----------- | ----------------- | ------------------------------------------------------------------------------------------------- |
| `--vector`  | вектор `CVSS:4.0` | Оценивает один вектор. Повторите, чтобы оценить несколько, по одной строке на вектор, по порядку. |
| `--explain` |                   | Добавляет каждую метрику простыми словами под каждой строкой с оценкой.                           |

Нужен хотя бы один `--vector`. Вектор никогда не передается как голый позиционный аргумент, поэтому его нельзя принять за флаг.

**Почему значение флага**

Каждый вектор передается как значение флага и никогда не подставляется в команду. Значение с кавычками или обратными кавычками остается инертным и не может внедриться в оболочку. Всегда заключайте его в одинарные кавычки, чтобы оболочка не раскрыла его раньше.

**Чего он не охватывает**

Только CVSS v4.0: вектор v2.0, v3.0 или v3.1 отклоняется, а не оценивается, поскольку **Lagune** оценивает каждую находку в v4.0.

**Совет**

Валидация фазы plan повторяет ту же арифметику для каждой строки CVSS, поэтому оценка, разошедшаяся со своим вектором, отлавливается до того, как план будет принят.

## Частые вопросы

### Как Lagune рассчитывает оценку CVSS?

Хук cvss следует эталонному калькулятору FIRST для CVSS v4.0, поэтому вектор получает ровно ту же оценку, что и на сайте FIRST.

### Можно ли оценить им вектор CVSS v3.1?

Нет. Lagune оценивает каждую находку в CVSS v4.0, а хук отклоняет любую другую версию, а не оценивает ее.

### Что делает флаг --explain?

Читает каждую метрику простыми словами и показывает оценку Base рядом с итоговой, чтобы любой мог увидеть, что говорит вектор и как контекст проекта сдвинул оценку.