# Хук cvss: оцінка вектора CVSS v4.0

> Оцініть один чи кілька векторів CVSS v4.0 з командного рядка за тією самою арифметикою, що й калькулятор FIRST, і прочитайте кожен простими словами.

Канонічна URL-адреса: https://lagune.ai/uk-UA/docs/hooks/cvss
Мова: uk-UA
Оригінал: https://lagune.ai/docs/hooks/cvss
Останнє оновлення: 2026-11-03

Хук `cvss` оцінює **вектор CVSS v4.0** і виводить його оцінку й рівень критичності, тобто рейтинг, який [`/lagune-plan`](https://lagune.ai/uk-UA/docs/commands/plan) записує для кожного виправлення, а [`/lagune-prove`](https://lagune.ai/uk-UA/docs/commands/prove) для кожного бюлетеня безпеки. Це детермінований рушій цих рейтингів з тією самою арифметикою, що й [калькулятор FIRST](https://www.first.org/cvss/calculator/4.0), і ви можете запускати його самі.

## Запуск

Передайте кожен вектор через `--vector`. Хук виводить по рядку на вектор: його оцінку й рівень.

**Один вектор**

```bash
npx lagune read cvss --vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N'
# => 9.3, Critical
```

**Кілька векторів**

Повторіть `--vector`, щоб оцінити кілька векторів одразу, по рядку на кожен, у тому самому порядку.

```bash
npx lagune read cvss \
  --vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N' \
  --vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/MAV:A'
# => 9.3, Critical
# => 8.7, High
```

**Простими словами**

Додайте `--explain`, щоб прочитати кожну метрику простими словами. Коли метрики Threat чи Environmental змінюють оцінку, спершу йде оцінка лише за метриками Base.

```bash
npx lagune read cvss --explain --vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/MAV:A'
# => 8.7, High
# =>   Base metrics alone: 9.3, Critical
# =>   Attack Vector: Network, modified to Adjacent
# =>   Attack Complexity: Low
# =>   ...
```

## Як читати результат

| Рівень     | Оцінка          |
| ---------- | --------------- |
| `None`     | 0.0             |
| `Low`      | від 0.1 до 3.9  |
| `Medium`   | від 4.0 до 6.9  |
| `High`     | від 7.0 до 8.9  |
| `Critical` | від 9.0 до 10.0 |

Вектор лише з метриками Base оцінює саму ваду, припускаючи найгірше: кожна вимога безпеки має рівень High, а вада зазнає атак у реальному світі. Метрики Environmental (`MAV` та інші змінені метрики, а також `CR`, `IR` і `AR`) уточнюють оцінку для конкретного розгортання, а метрика Threat (`E`) для того, що відомо про експлуатацію.

Недійсний вектор виводить `invalid vector:` і що з ним не так, а хук завершується з ненульовим кодом.

### Параметри CLI

| Параметр    | Значення          | Опис                                                                                           |
| ----------- | ----------------- | ---------------------------------------------------------------------------------------------- |
| `--vector`  | вектор `CVSS:4.0` | Оцінити один вектор. Повторіть, щоб оцінити кілька, по рядку на вектор, у тому самому порядку. |
| `--explain` |                   | Додати кожну метрику простими словами під кожним рядком рейтингу.                              |

Потрібен щонайменше один `--vector`. Вектор ніколи не передається як окремий позиційний аргумент, тож його неможливо сплутати з прапорцем.

**Чому значення прапорця**

Кожен вектор передається як значення прапорця й ніколи не підставляється в команду. Значення з лапками чи зворотними апострофами залишається інертним і не може здійснити ін'єкцію в оболонку. Завжди беріть його в одинарні лапки, щоб ваша оболонка не розгорнула його першою.

**Чого він не охоплює**

Лише CVSS v4.0: вектор v2.0, v3.0 чи v3.1 відхиляється, а не оцінюється, бо **Lagune** оцінює кожну знахідку у v4.0.

**Порада**

Валідація фази plan повторює цю саму арифметику для кожного рядка CVSS, тож оцінку, що розійшлася зі своїм вектором, буде виявлено ще до того, як план приймуть.

## Часті запитання

### Як Lagune обчислює оцінку CVSS?

Хук cvss дотримується еталонного калькулятора FIRST для CVSS v4.0, тож вектор отримує точно таку саму оцінку, як на сайті FIRST.

### Чи можна оцінити ним вектор CVSS v3.1?

Ні. Lagune оцінює кожну знахідку в CVSS v4.0, а хук відхиляє будь-яку іншу версію, а не оцінює її.

### Що робить прапорець --explain?

Він читає кожну метрику простими словами й показує оцінку Base поруч із загальною, тож будь-хто бачить, що каже вектор і як контекст проєкту змінив оцінку.