Moet je eerst vaststellen of een kwetsbaarheid van toepassing is?

Ja. Een scannerhit of overeenkomstig versienummer bewijst nog niet dat de kwetsbare code aanwezig, bereikbaar of uitvoerbaar is. Controleer daarom eerst de gebruikte component en versie, configuratie, aanroeproute en eventuele maatregelen. Broncodeonderzoek, een SBOM, VEX, configuratieanalyse en dynamische tests kunnen daarvoor passend bewijs leveren.

Blijkt het product niet getroffen, leg dan die niet-toepasselijkheid met het bewijs vast. Geef niet kunstmatig een lage CVSS-score aan een kwetsbaarheid die niet van toepassing is. FIRST beschrijft in de CVSS 4.0-FAQ ook dat een leverancier de score voor het concrete product opnieuw moet beoordelen en VEX kan gebruiken om toepasselijkheid te communiceren.