Jede Zahl auf dieser Seite, und woher sie kommt

Jede auf dieser Seite genannte Zahl wird halbstündlich aus dem System geholt, dem sie gehört, und mit der URL gespeichert, aus der sie stammt. Nichts davon ist von Hand eingetippt, und nichts wird von dieser Seite über sich selbst gezählt.

Das ist eine bewusste Korrektur und keine Zierde. Bis August 2026 stand auf diesen Seiten an fünf Stellen zugleich, es seien 48 veröffentlichte Advisories und 13 CVEs, weil die Zahlen Fließtext waren und Fließtext sich nicht selbst aktualisiert. Der öffentliche Bestand sagte 33 und

1. Eine Behauptung, die eine lesende Person nachprüfen und

widerlegen kann, ist weniger wert als gar keine — also sind die Zahlen hierhergezogen, und der Fließtext zitiert sie jetzt.

Woher jede einzelne kommt

Die Postiz-Datensätze stammen aus dem GCVE-Dump für Numbering Authority 125, an dem Endpunkt, den das GCVE-Verzeichnis selbst für diese Authority nennt. Jeder Eintrag ist ein vollständiges Dokument im CVE Record Format 5.1, sodass Schweregrad, Schwächenklasse und CVE-Zuweisung vom Datensatz abgelesen werden und nicht von einer Seite, die ihn beschreibt. Trägt ein Datensatz sowohl einen CVSS-3.1- als auch einen 4.0-Vektor, zählt der 4.0er, mit der Begründung, dass er die spätere Einschätzung ist.

Die Gesamtzahlen über beide Programme stammen aus der Advisory-Liste auf gadvisory.org, gezählt aus der Sitemap, die diese Plattform für Maschinen veröffentlicht.

Die Programmkennungen werden gegen die Verzeichnisse geprüft statt aus dem Gedächtnis zitiert. Postiz ist CNA-2026-0055, eine von 548 CVE Numbering Authorities, mit MITRE Corporation als Top-Level Root. Es ist zugleich GCVE Numbering Authority 125, eine von 45 in jenem Verzeichnis.

Die Beitragszahlen stammen aus dem GitHub-Contributor-Graphen jedes Repositories, auf das die Projektseite verweist. Die Liste wird nicht hier gepflegt: Ein Projekt mit Repository-URL hinzuzufügen startet seine Zähler beim nächsten Lauf.

Was die Konformitätszeile bedeutet

GCVE veröffentlicht eine Reihe von Best-Current-Practice-Dokumenten, und BCP-06 ist dasjenige darüber, wie sich eine Numbering Authority selbst führen sollte. GNA 125 veröffentlicht dazu eine maschinenlesbare Selbstauskunft, unter einer festen URL, mit Angabe des Offenlegungsmodells, ob die Zuteilung automatisiert ist, und wie lange eine Meldung auf ihre erste Sichtung wartet. Die Antwort auf Letzteres lautet 7 Tage, und sie ist veröffentlicht statt per E-Mail versprochen.

BCP-07 betrifft bekanntermaßen ausgenutzte Schwachstellen. GNA 125 veröffentlicht auch diesen Feed. Er hat derzeit 0 Einträge, was die gute Antwort ist.

Wenn eine Quelle ausfällt

Eine Quelle, die nicht antwortet, lässt ihre Zahlen genau so, wie sie waren. Sie leert sie nie und schreibt nie eine Null, denn eine Null ist das, wonach eine kaputte Auswertung aussieht, und eine veraltete Zahl fällt leichter auf als eine selbstbewusst falsche. Die Statuszeile oben auf dieser Seite sagt, wie viele Quellen im letzten Lauf geantwortet haben, und die Seite sagt es ausdrücklich, wenn das Ganze veraltet ist.