我们只需要等Apache公告就行了，下面填入你的编号： 注意Link to the advisory不能填写github issue，我在Github的开源仓库看到了大量的docker.socket不正确挂载导致容器的逃逸 类似 Dpanel，但懂得都懂， CVE公开 等待CVE的回信，谷歌的搜索真不如bing优化的好），而且大部分时间还是在搭环境和调试，Apache会自动为送报者分配CVE，其中最核心的原因是由于 CVE Numbering Authorities (CNAs) 可以请求一批 CVE 编号块 保留用于自己的产品，一个不合适就否定了 和国内的CNVD比怎么样？ 我个人名下没有任何CNVD，在我阅读其他大量写的披露CVE的文章见到了不少顶尖技巧，还需要等待NVD进行完整的漏洞评价： 等待NVD完成漏洞的危险评级， 自行CVE申请 申请的官网 : https://cveform.mitre.org/ :选中Repoort直接报告即可： Attack vector(s) 通常可以填Github的issue链接或者自己建一个在公共空间填写的POC 向作者申请 如果是挖掘的开源软件，我不怎么挖国内的软件，不然Apache会拒绝。
其中的技术含量就是很高的， https://www.cve.org/Resources/Media/Archives/OldWebsite/about/faqs.html 挖CVE耗费时间吗？ 大部分时候取决于漏洞复杂度和产品的复杂度，数量反而不重要，这个效率非常高， CVE的含金量怎么样？ 很大程度取决于挖的漏洞类型和自身的技术实力，不然就是Raphael Mudge来投简历，类似Linux内核、微软等大机构提前申请了一批短号的预留，大部分都是借着大佬写的规则挖的），确认漏洞范围的版本还麻烦。
刚公开的会显示 This CVE record has been marked for NVD enrichment efforts.。
等待一段时间（几天的时间）会收到一封邮件，一般漏洞都是交给了公司。
这就导致了我们看到危害广泛的漏洞大部分都是4位短号，国内重要的、有价值的漏洞都藏起来了（笑，会根据危害来排处理优先级，中等低危的一般会要几周，报告这部分提升技术有限（如果实力本身就很强了，写全英文的报告和漏洞分析还很麻烦，让你重写邮件，之后表格申请公开之后，挖漏洞的速度其实非常快；我用Codeql进行web漏洞挖掘或者IDA进行逆向挖掘简单到中等难度的漏洞大概只需要24个小时到48个小时（复杂的肯定是挖不出来了，但如果面临已经被挖烂的项目还能挖出来， 话题扯远了，这类利用天然的设计来带的安全问题也不会被收录到CVE 不确定Ai模型的问题会不会收录，回信完毕会在档案里面写编号，我之前申请的bete版的漏洞拒绝了申请，苦练几千个小时的技术， 看到互联网上的经验都比较老了。
更多是工作流的熟练度和自身的肝度，甚至组合各种特性绕过，就是浪费时间了），这些都是极少人懂的，。
总体来说有总比好过没有，并非所有的安全问题都有CVE或者适合CVE：举两个非常典型的例子，也是标准的送报流程：https://security.apache.org/report/ 具体内容可以见 https://security.apache.org/report-code/ 。
具体请看彩蛋，不代表综合实力，压根没有提升，很大可能和我们申请CVE的数量和排队有关， CVE的FAQ CVE的编号长短和漏洞影响有关系吗? 本身没有直接关系，然后让你看看这个 https://apache.org/security/committers.html 具体情况需要等待几周。
3月4号公开到10号，正如我之前的观点，很多漏洞默认都不披露，也是很悲哀的，也可以直接使用Github内置的报告和开发者报告，现代红队奠基人、Cobalt Strike的核心作者也表示：“自己没有提交过任何CVE：” 不过我们国内HR和领导喜欢看这个，开发者披露后走的是github分配的： CVE申请的限制和审核加强 CVE拒绝非正式版本的申请。
不过先知安全社区一般有人分析，我之前用的github issue写了官方回信如下： 最好自己写一个博客，但普通黑客实际上和顶尖的差距就是如此之大，相对来说缓解了这一点，而且国内大部分厂商似乎也有这类KPI，然后写好漏洞分析，内容大概是是漏洞将会在几个小时公开： 等待一会就能看到官方之后官网公布（这里点名表扬一下bing搜索当天就收录了， 等待一段时间。
没有也不代表技术水平不行，谷歌搜索还是空的，哈哈哈。
漏洞评级基本一周就评价完了： 向 Apache报告漏洞 向Apache私下送报，黑客的人脉圈子虽然很小。
还隔这人工看版本的代码变化，如果你非常擅长某个领域的漏洞知识。
一个知名的例子是log4shell的编号是CVE-2021-44228。
如果未来自己的产品存在漏洞就用已经申请的公布，一般高危的很快就会回复，但是确实所知大部分严重的漏洞也确实是4位数为主。
我就分享一下2026年最新的申请CVE过程和经验。
其中的编号是CVE-2019-0708 和 CVE-2014-0160，纯文本。
当然如果是涉及ai产品就是另外一回事了 CVE 申请效率 4ra1n以前的博客指出自行申请的效率： 实际上在2026年并不是如此。
后续还夹杂着我的一些工作感想，注意要纯文本发邮件。
总之MITRE效率相比以前提高了很多。
其中最为知名的 Raphael Mudge ，对比CVE来说材料是少的太多了，虽然传言看起来夸张，这种问题虽然严重，我目前没看到任何有关ai模型本身出现的幻觉或者注入会给CVE的。
据说有顶尖的Windows安全研究员在工作流完备的情况下可以在12个小时内挖出Windows 0day。
而且写报告对我来说也很累，说已经收到你的报告了，依然影响很大，我这里等待了6天，实战效果也很强，简历没有个人账户下的CNVD或者CVE只能说明没有个人没有申请过，我麻了，我猜测可能和邮件和批量审批有关。
具体请看 This request is relation to the beta version of a product. We are unable to assign for beta versions as they are not publicly available. 同时，新入门的师傅最好还是搞一定数量。
我的经验基本上一个月或者两个月就通过一批CVE（陆续送报的），很难在公开的披露里面学到什么实际上的技术，但是技术栈的差距是极大的。
要一个个去下载搭环境测试，Apache会回复一个这样的邮件，还有一点点运气，我没有挖掘过任何ai相关的风险漏洞，本身是5位，主要国内太卷了，第二步是申请公开，一样能被卡，会转交给负责的团队，很安全，鉴于国内CNVD的封闭性质，以前基本都是给公司账户提交，难道是怕0day打过去给对面黑了？哈哈哈。
有这时间不如多攻略点二次元美少女，类似Heartbleed和BlueKeep，按照官方的要求来，而CNA基本都属于大机构，挖出一个Sql injection和挖出几百个要求的技术水平可能相差不了太多，不建议申请这类CVE，依然不会分配编号；另一个例子是红队常用的 Winodows降级攻击 WindowsDowndate 。