本文系统分析了国家漏洞数据库（NVD，称为“大教堂”）与多个CVE编号机构（CNA，称为“集市”）之间在通用漏洞评分系统（CVSS）指标上的分歧问题。NVD长期以来作为漏洞信息的权威来源，支撑着软件更新优先级等下游任务；而众多CNA提供了多样化且有时相互冲突的评分。研究首先量化了NVD与公开CNA之间以及同一CNA内部（自分歧）的评分不一致程度，发现攻击复杂度、用户交互和影响维度是分歧的主要领域。通过联系NVD和其他CNA（包括开源和商业产品），并在FIRST的CVSS特别兴趣小组中讨论，作者识别出分歧的根源：部分源于人为错误，但在某些情况下，分歧实际上是合理的，甚至可能要求行业范围内改变CVE的生成方式。关键发现是，自2025年以来情况有所改善，但如果下载过去几年的完整NVD（或其他CNA数据集）用于预测模型，则在一个源上训练的模型无法可靠地泛化到另一个源，准确率可能下降高达40%。文章讨论了这些发现对实践和研究的启示。适合漏洞管理、安全运营和CVSS标准制定者阅读。