CVSSバージョンのサポート

DefectDojoは、CVSS 4.0規格を含め、検出事項に対するCVSSメタデータをサポートしています。このページでは、どのCVSSバージョンがエンドツーエンドで保存されるか、どこで入力・閲覧できるか、そしてパーサー側のカバレッジについて何を期待すべきかを説明します。

DefectDojoが保存する内容

検出事項は以下のCVSSデータを保持できます。

バージョン	ベクター保存	スコア保存	UIベクタービルダーと計算機
CVSS v4.0	✅	✅	✅ (Pro UI)
CVSS v3 (v3.0 / v3.1)	✅	✅	✅ (Pro UI)
CVSS v2	検出事項の深刻度フィールドを通じて暗黙的に保存され、個別のv2ベクターフィールドは保存されません	N/A	N/A

各検出事項には、基盤となるモデル上に専用のcvssv3/cvssv3_scoreおよびcvssv4/ cvssv4_scoreフィールドがあります。これらはUIだけでなくAPI経由でもアクセスできます。

CVSSv3とCVSSv4はどちらも、検出事項上で手動入力できます。

検出事項の編集フォーム — 該当するフィールドに完全なCVSSベクター文字列を貼り付けます。保存すると、DefectDojoがベクターを解析し、自動的にスコアを計算します。
ベクタービルダー(Pro UI) — 検出事項の編集フォームでCVSSv3またはCVSSv4の項目の横にある 🛠️ボタンをクリックすると、ベクタービルダーが開きます。対話的にベクターを構築し、計算機ボタンをクリックすると、結果のベクターからスコアが算出されます。

CVSSv4ベクター文字列とベクタービルダーは、v2.50.3(2025年9月22日)でPro UIに追加され、それに付随する明示的な計算機ボタンはv2.51.1(2025年10月14日)で導入されました。

検出事項ビューは、CVSSv3およびCVSSv4データをユーザーに表示するかどうかを制御する、2つのシステム設定に従います。

どちらもシステム設定の下で個別に設定できます。両方が有効な場合、両方を持つ検出事項では両方のバージョンが並べて表示されます。

DefectDojoはどの検出事項に対してもCVSSv4データを保存できますが、特定のパーサーがCVSSv4 フィールドを設定するかどうかは、元となるツールに依存します。

元となるツールがエクスポート形式でCVSSv4のベクターやスコアを出力する場合、パーサーは通常それらのフィールドをマッピングします。
ツールがCVSSv2またはCVSSv3データのみを出力する場合、パーサーはv4ベクターを合成しません。 v3からv4への変換機能は組み込まれていません。
一部の古いパーサーは、元となるツールがCVSSv4フィールドを出力していても、まだそれをマッピングしていない場合があります。CVSSv4を出力するツールに対してそのフィールドを省略しているパーサーを見つけた場合は、Issueを起票してください。

それまでの間、パーサーのサポート状況に関わらず、完全なCVSSv4カバレッジを得るための2つの方法があります。

汎用検出事項インポート — CSVでは CVSSV4(ベクター)およびCVSSV4_score列を、JSONではcvssv4/cvssv4_scoreキーを受け付けます。
ユニバーサルパーサー(Pro) — CVSSv4ベクターをマッピング可能なフィールドとしてサポートします(v2.57.0、2026年4月7日で追加)。ツールが、組み込みパーサーがマッピングしないカスタムフィールド名を持つJSONやCSVを出力する場合に使用してください。

検出事項の編集フォームでの手動入力は、CVSSv4を自動的に反映しないツールやレポートに対する、汎用的なフォールバックとして引き続き利用できます。