Примечание 2026-2-17: Добавлен дополнительный день обработки для нормализации дат с целью устранения потенциальных несоответствий Новое расписание нормализации дат: (16.02.26 — 28.02.26)

Примечание 2026-2-10: Изменение файла deltaLog.json при нормализации дат записей Файл deltaLog.json обычно хранит скользящую историю изменений записей CVE за 30 дней. Однако на время процесса нормализации дат (16.02.26 — 28.02.26) файл deltaLog.json будет временно хранить историю только за 15 дней. Поскольку будет изменено значительное количество записей, это ограничит размер файла deltaLog.json. В ходе этого процесса размер файла будет контролироваться, чтобы определить, нужно ли дополнительно сокращать количество хранимых дней для соблюдения лимита размера. Обратите внимание, что полная история файла deltaLog доступна в истории Git. После завершения процесса нормализации дат файл журнала снова будет настроен на хранение истории за 30 дней.

Примечание 2025-10-29: Обновление формата записей CVE до версии 5.2.0 по состоянию на среду 29.10, 10:30 утра по восточному времени (EST); поддержка идентификаторов Package URL (PURL): Это обновление формата записей CVE (до версии 5.2.0) вводит «неразрушающие» изменения, включающие:

• Добавление поддержки идентификаторов PURL с использованием свойства packageURL в элементах массива affected.
• Добавление additionalProperties равного false для элементов массива affected.
• Обновление примеров записей CVE (включая пример с PURL).
• Добавление улучшений документации и инфраструктуры для лучшей поддержки будущих обновлений формата записей CVE.

Для получения дополнительных сведений см.:

• Общее объявление программы CVE
• Примечания к выпуску формата записей CVE 5.2.0
• Примечания к выпуску CVE Services 2.6.0

Примечание 2024-12-4: CVE REST Services были обновлены для использования схемы формата записей CVE 5.1.1 в среду 4.12 в 16:00 по восточному времени (EST): Это обновление вводит «неразрушающие» изменения, содержащие новые функции, которые некоторые CNA могут захотеть использовать в будущем (см. примечания к выпуску формата записей CVE версии 5.1.1). Поскольку это полностью обратно совместимое обновление (означающее, что все ранее опубликованные записи CVE будут проходить валидацию с использованием этой схемы), большинство пользователей не заметят никаких операционных последствий в результате этого изменения. Эта схема определяет формат данных для записей CVE, независимо от того, были ли они опубликованы до или после 4 декабря.

Примечание 2024-09-17: Исправление исторических записей в репозитории CVE: Записи CVE, первоначально опубликованные до 2023 года с неверными датами Reserved/Published/Update, были исправлены. Это действие исправило приблизительно 27 000 записей, которым были присвоены неверные даты Reserved, Published или Updated в рамках внедрения записей CVE в формате JSON 5.0.

Примечание 2024-07-31: Записи CVE теперь могут содержать новый контейнер, называемый CVE Program Container: Этот новый контейнер предоставляет дополнительную информацию, добавляемую программой CVE, включая ссылки, добавленные программой. Пользователям этого репозитория, возможно, потребуется обрабатывать два контейнера. См. ниже дополнительную информацию.

Примечание 2024-05-08, 17:30: CVE REST Services были обновлены до схемы формата записей CVE 5.1 8 мая 2024 года в 17:30 по восточному времени (EDT). С этим обновлением запись CVE в этом репозитории теперь может быть записью формата 5.0 или 5.1. Формат отражен в поле dataversion. Пользователям этого репозитория, которые «проверяют» записи CVE, рекомендуется выполнять валидацию записей с использованием соответствующей версии схемы (т.е., 5.0 или 5.1), как указано в этом поле. Пользователям не следует определять, какую схему использовать, основываясь на дате развертывания нового формата (т.е., 08.05.2024 в 17:30 по EDT), поскольку существуют несоответствия в значениях дат публикации/обновления.

CVE List V5

Этот репозиторий является официальным списком CVE. Это каталог всех записей CVE, идентифицированных или переданных в программу CVE.

В этом репозитории размещены загружаемые файлы записей CVE в формате записей CVE (см. схему). Они регулярно обновляются (примерно каждые 7 минут) с использованием официального API CVE Services. Вы можете искать, загружать и использовать контент, размещенный в этом репозитории, в соответствии с условиями использования программы CVE.

Загрузка в устаревших форматах больше не поддерживается — Вся поддержка устаревших форматов загрузки контента CVE (т.е., CSV, HTML, XML и CVRF) прекращена 30 июня 2024 года. Эти устаревшие форматы загрузки, которые больше не будут обновляться и были поэтапно выведены из эксплуатации в течение первых шести месяцев 2024 года, заменены этим репозиторием как единственным поддерживаемым методом загрузки записей CVE. Узнайте больше здесь.

Контейнеры записей CVE

Записи CVE теперь могут состоять из нескольких контейнеров:

• Контейнер CNA
• Контейнер программы CVE (CVE Program Container)
• Необязательные дополнительные контейнеры, специфичные для ADP

Контейнер программы CVE (CVE Program Container)

Все ссылки, добавленные программой CVE после 31.07.2024 для записи CVE, будут храниться в контейнере программы CVE этой записи. Ссылки, предоставленные CNA, будут по-прежнему храниться в контейнере CNA.

Контейнер программы CVE реализован в формате контейнера ADP в записи CVE.

Конкретные поля JSON/записи CVE, которые будут находиться в контейнере программы CVE, следующие:

• поле adp:title: «CVE Program Container»
• поле adp:providerMetadata:shortName: «CVE»
• поле adp:references, как описано здесь

Ссылки в контейнере программы CVE сохраняют тот же формат, что и ссылки в контейнере CNA.

Контейнер программы CVE может содержать ссылки с тегом x_transferred. Ссылки с этим тегом были прочитаны из контейнера CNA 31.07.2024. Это «разовое» копирование для поддержания «состояния» списка ссылок CNA по состоянию на 31.07.2024. Ссылки, добавленные программой CVE после этой даты, не будут иметь тега x_transfered.

В случае новых записей CVE, созданных после 31.07.2024, если не добавлены обогащенные данные от программы, то с записью CVE не будет связан контейнер программы CVE.

Рекомендации по реализации:

Обработка обязательных контейнеров: После 31.07.2024, чтобы получить всю информацию о сообщенной уязвимости в репозитории CVE, поставщикам инструментов и пользователям сообщества необходимо будет изучить контейнер CNA записи CVE и контейнер программы CVE (если он существует). Эти два контейнера минимально необходимы для получения основной информации, требуемой программой. Все остальные контейнеры ADP остаются необязательными с точки зрения программы.