Severidad y prioridad
Son dos cosas distintas. La severidad dice cuánto daño puede hacer una vulnerabilidad en general; la pone el escáner o el aviso público, antes de saber nada de tu repo. La prioridad dice cuánto urge en tu caso, y sale del triaje. El panel enseña las dos.
Los cinco niveles de severidad
| Nivel | Qué suele significar |
|---|---|
| Crítica | Se puede aprovechar desde fuera y el daño es grave: datos de todos, ejecutar código, tomar la cuenta. |
| Alta | Se puede aprovechar con alguna condición, o el daño es serio pero acotado. |
| Media | Hace falta algo más (otra vulnerabilidad, un usuario con permisos) o el daño es limitado. |
| Baja | Difícil de aprovechar o de poco impacto. Conviene arreglarlo, no urge. |
| Info | No es una vulnerabilidad en sí: una práctica mejorable, un aviso. |
De dónde sale
- En librerías, del aviso público: la puntuación CVSS que trae, traducida a los cinco niveles.
- En código, claves y configuración, de la regla del escáner. Si la regla trae su puntuación, se usa; si solo dice «error», «aviso» o «nota», se traduce a alta, media o baja.
- Si dos escáneres ven lo mismo, se queda la más alta. Es la severidad base: no la cambia el triaje.
La prioridad: qué va primero
Dentro de lo que hay que corregir, el orden es por severidad base, crítica primero. Hay un ajuste: si la vulnerabilidad está en una librería y el analista ha visto que tu código sí usa la parte vulnerable, la prioridad sube un nivel (sin pasar de crítica). Una «alta» que te afecta de verdad va por delante de una «alta» que no.
En código la alcanzabilidad no se aplica: ahí la decisión ya la lleva el veredicto. Qué es cada veredicto, en su página.
El orden de la lista
- Primero por veredicto: Corregir, Revisar, sin triar todavía, Vigilar y, al final, Descartar.
- Dentro de cada grupo, por prioridad y después por severidad.
- Los descartados no se enseñan por defecto; se pueden ver con el filtro.
Dos avisos
- Una severidad crítica no se descarta sola. Si el analista la clasifica como falsa alarma sin confianza alta, va a Revisar: lo confirma una persona.
- La severidad no es la prioridad. Una «media» alcanzable en producción puede importar más que una «crítica» en una función que nadie llama. Por eso están las dos columnas.