When Cyber Scoring Systems Diverge: An Empirical Comparison
该论文针对漏洞评分体系在补丁优先级排序与风险管理中的实际效果展开实证比较。长期以来，CVSS、EPSS 等评分系统的对比研究多停留在抽象层面，例如在 IT 漏洞数据库中计算评分之间的统计相关性，而很少考察当这些评分被嵌入系统级风险模型后所产
#vulnerability-management
共收录 16 条相关情报。
← 返回所有主题One Pipeline Does Not Fit All: TAILOR, a Type- and State-Aware Framework for CVE Reproduction
该论文关注大规模漏洞披露与软件复用背景下的一个现实痛点：安全团队需要可复现的证据来诊断漏洞、验证补丁、构建回归测试，而端到端的自动化 CVE 复现是规模化生产此类证据的前提。作者指出，现有方法通常用一条统一的流水线处理所有 CVE，但不同漏
Evaluating the NIST Bugs Framework Against CWE as a Successor for Automated Vulnerability Classification
该论文关注漏洞分类这一网络安全基础能力。当前业界普遍使用 MITRE 的通用弱点枚举（CWE）作为根因弱点的公共知识库，但 CWE 条目之间存在大量语义重叠，结构上并非正交，导致同一个漏洞往往可被映射到多个弱点类别。这一缺陷使得根因分析（R
An Empirical Analysis of ReDoS Vulnerabilities and ReDoS Detection Tools
本文研究的是 ReDoS(正则表达式拒绝服务)这一软件弱点及其检测工具生态。ReDoS 的成因是: 当正则表达式被用于校验用户可控输入时, 某些正则的匹配过程会退化为指数级(或超线性)时间复杂度, 攻击者只需构造特定输入即可让服务端线程长期
One Is Not Enough: The Untold Story of Multiple Security Patches for One Vulnerability
本研究针对软件漏洞修复中的一个盲点展开：一个漏洞往往并非由一个安全补丁（SP）就能彻底解决，而是可能通过多个补丁增量修复、跨维护分支传播或在相关代码库中复制完成。由于现有漏洞数据库通常只记录部分补丁，下游用户可能只应用了部分修复，导致漏洞未
After Cheap Discovery: From unknown to known-and-unfixed
自动化漏洞发现技术已经大大降低了寻找漏洞的专业门槛，使得以往依赖专家稀缺注意力的“保护”不再有效。当前行业重点放在漏洞的发现与修复上，且两者的成本都在下降。本文作者认为，决定系统暴露程度的关键并非单纯的成本曲线，而是发布决策时的“修复覆盖率
Automating Static Code Analysis Through CI/CD Pipeline Integration
该论文针对软件开发中安全漏洞发现与修复的滞后性问题，提出了一种通用且自动化的静态应用安全测试（SAST）工具集成流程。研究背景指出，SAST 工具虽能有效检测漏洞，但因误报率高、缺乏对原生流水线的支持等可用性问题，在企业中的广泛采用受到阻碍
AEM: Facilitating Cross-Version Exploitability Assessment of Linux Kernel Vulnerabilities.
本文研究 Linux 内核漏洞的跨版本可利用性评估问题。具体而言，给定一个在特定内核版本上成功利用漏洞的 exploit，目标是判断同一漏洞在其他内核版本上是否也可被利用。现有唯一可用的解决方案是自动生成漏洞利用（AEG），但由于 AEG
The Vulnerability With No CVE: Managing Persistent Gaps Between Mandate and Authority in AI Coding Agents
本文针对AI编程代理（AI coding agents）在安全治理中面临的一个现实困境：现有安全框架虽已识别出过度代理权限、过度授权、弱任务绑定授权以及代理控制不足等风险，也提供了约束、授权、观察、验证和响应等控制能力，但安全团队仍缺乏一种
VulnGym: Evaluating Vulnerability Management Strategies against Advanced Persistent Threats
企业网络持续面临高级持续性威胁（APT）的攻击，攻击者利用软件漏洞逐步渗透关键资产。随着披露的漏洞数量增长，资源受限的组织必须优先修补哪些漏洞。现有的漏洞优先级标准（如CVSS）对每个漏洞独立评分，无法评估修补策略在对抗随时间在网络中推进的
The Unpatchables: Why Municipalities Persist in Running Vulnerable Hosts.
该论文研究了市政机构（市、县等地方政府）网络中持续存在漏洞主机的现象。作者通过大规模互联网扫描数据，结合漏洞数据库和市政基础设施信息，识别并分析了大量未修补的脆弱主机。研究发现，市政机构面临独特的挑战，包括预算限制、人员技术能力不足、业务流
Mean Time to Remediate Is Not a Fielding Model: A Cadence Audit for Enterprise Vulnerability Management
企业安全团队常用的修复指标如平均修复时间（MTTR）、SLA合规率、驻留时间或检测延迟等，虽然能反映部分修复效率，但往往掩盖了补丁实际到达资产环境的真实方式——例如通过计划维护窗口、部署环、紧急绕过路径等连续或周期性过程。本文提出了一种面向
VeriPort: Automated and Verified Patch Backporting at Scale
本文提出 VeriPort，一个端到端的自动化补丁回溯系统，旨在解决开源依赖中已知漏洞的修复难题。当前，安全补丁通常仅针对最新版本发布，开发者面临两难：要么升级到最新版本（可能引入破坏性变更），要么手动将补丁回溯到旧版本。现有回溯方案只能针
GCVE: A Decentralized Model for Vulnerability Identification, Publication, and Operational Enrichment
本论文提出了一种名为全球CVE倡议（GCVE）的分散化、开放且可扩展的模型，用于漏洞识别、发布和运营丰富化。论文指出当前漏洞生态系统存在一个关键缺口：集中式系统（如传统CVE）提供严格的控制和广泛认可的标识符，但许多生产者（如安全厂商、开源
A Mixed-Methods Study of Open-Source Software Maintainers On Vulnerability Management and Platform Security Features.
该研究采用混合方法（问卷调查n1=80 + 半结构化访谈n2=22）调查了GitHub Advisory Database中列出的开源软件（OSS）项目的维护者，探究他们在漏洞管理和平台安全特性方面的观点。研究识别出37个关键方面，发现供应
FixV2W: Correcting Invalid CVE-CWE Mappings with Knowledge Graph Embeddings
FixV2W利用知识图谱嵌入和历史重映射模式，修正NVD中无效的CVE-CWE映射，提升漏洞管理准确性。