CNNVD/CVE 漏洞报告生成器

要解决什么问题

安全审计结束后，你手里往往是一份 Markdown 报告、一段复现脚本，或静态分析里的 file:line 结论。往 CNNVD（中国国家信息安全漏洞库） 或 CVE 填报时，字段口径、中文表述和验证步骤格式并不一致：自评级要对照 CVSS，CNNVD 要求「漏洞定位」「触发条件」「验证过程」可复现，CVE 侧则偏英文技术描述与 CWE 映射。手工从多份材料里抄字段、再按两套模板排版，既容易漏项，也容易把「攻击场景」写成泛泛的「存在安全风险」。

技能如何工作

本技能按固定工作流把输入归一化后再出稿：

1. 识别输入类型——审计报告、复现脚本、源码分析或混合材料，决定从哪抽取标题、CWE、CVSS、受影响产品与代码位置。
2. 确认范围——单条还是批量、仅 CNNVD / 仅 CVE / 双份输出，以及 CVE 描述语言（默认英文）。
3. 抽取必填与可选项——漏洞名称、CWE、CVSS（缺则据描述估算）、厂商/产品/版本、攻击向量、影响、复现步骤；已有 CVE 号、下载链、披露时间等则一并带上。
4. 对照模板生成——CNNVD 走 references/cnnvd-template.md；CVE 走 references/cve-template.md。CNNVD 侧名称格式如「[产品名] [漏洞类型]漏洞」，自评级映射高危/中危/低危；验证步骤优先沿用报告或脚本里的真实命令与预期输出，不足时按 CWE 类别补推断步骤（如凭据暴露查进程列表、注入类构造恶意输入等）。
5. 落盘命名——单漏洞 cnnvd-[vuln-id].md / cve-[vuln-id].md；批量可合并为 cnnvd-all.md、cve-all.md，多漏洞文件可带目录。

适用边界与注意点

• 准确优先于凑满：无法从材料可靠推断的字段应标 [待补充]，不要编造版本范围或 CVSS。
• 证据要可指向代码：影响描述需具体（例如可读明文凭据），并保留 路径:行号。
• 复现步骤必须可执行：写命令与预期结果，而非「执行相关操作」式叙述。
• 多漏洞审计会先列出发现项供选择；关联攻击链可在报告中交叉说明。