该论文针对漏洞报告中软件受影响版本信息不完整的问题展开研究。作者指出，即使是由 MITRE/NIST 归档的漏洞报告，也常常缺少某些易受攻击的软件版本信息，导致使用这些未报告版本的用户面临风险。为此，他们提出了一种基于模糊测试（fuzzing）的方法来辅助漏洞评估。该方法首先在软件的参考版本上收集崩溃执行轨迹，然后利用该轨迹指导对 PoC（Proof-of-Concept）输入进行变异，使得目标版本能够沿着与参考版本相似的执行轨迹运行，从而增加目标版本触发漏洞的可能性，证明该漏洞在目标版本上存在。作者将该思想实现为自动化工具 VulScope。通过使用 30 个真实世界 CVE 对 470 个软件版本进行实验，VulScope 在将 PoC 从一个版本迁移到另一个版本时，实现了零误报，漏报率仅为 7.9%。此外，作者还将该方法与 AFL 和 AFLGO 两种代表性模糊测试工具进行了比较，发现在 PoC 迁移任务中 VulScope 优于这两种现有技术。最后，利用 VulScope，他们发现了 330 个被 MITRE/NIST 漏报为易受攻击的软件版本。该研究的主要贡献在于自动化了 PoC 跨版本迁移过程，帮助安全分析人员识别官方漏洞库中遗漏的受影响版本，从而更全面地评估漏洞影响范围。适合漏洞管理、安全运维和软件供应链安全领域的从业者阅读。