fix: Severity misinterpretation

Author: dadav

CLAUDE.md

@@ -97,6 +97,7 @@ These rules are easy to break and cause silent data errors.
 - Do not use `image_components` — its IDs are incompatible with `image_cves_v2.componentid` and joins silently return 0 rows.
 - Join `image_component_v2.id` to `image_cves_v2.componentid`.
 - Group CVE list and detail aggregations by `ic.cvebaseinfo_cve`, not by `ic.id`.
+- `ic.severity` and `ic.cvss` are vendor/scanner values (Red Hat classification and Red Hat CVSS for Red Hat content), not NVD data. NVD's score lives in `ic.nvdcvss` and is not used by the app. Never describe severity or the displayed CVSS as NVD-based.
 
 Correct pattern:
 

docs/development.md

@@ -209,8 +209,8 @@ LEFT JOIN image_component_v2 comp ON comp.id = ic.componentid
 Key fields on `image_cves_v2`:
 
 - `ic.cvebaseinfo_cve` -- CVE ID
-- `ic.severity` -- severity level (1-4)
-- `ic.cvss` -- CVSS score
+- `ic.severity` -- scanner-assigned severity (1-4, Red Hat classification for Red Hat content; independent of CVSS)
+- `ic.cvss` -- CVSS score from the primary data source (Red Hat for Red Hat content); NVD's score is in `ic.nvdcvss` and often differs
 - `ic.cvebaseinfo_epss_epssprobability` -- EPSS probability
 - `ic.impactscore` -- impact score
 - `ic.firstimageoccurrence` -- first seen date

docs/user-guide.md

@@ -154,7 +154,7 @@ The **Escalations** page shows both active escalations and upcoming ones.
 
 - Escalation rules are configured in **Settings**.
 - Each rule combines a minimum severity threshold with an EPSS threshold and three deadlines.
-- A CVE is eligible for a rule when either the severity threshold or the EPSS threshold matches that rule.
+- A CVE is eligible for a rule when both the severity threshold and the EPSS threshold are met. A threshold of `0` imposes no constraint.
 - Levels are:
   - Level 1: user notification
   - Level 2: user and security notification

frontend/src/components/charts/EpssRiskMatrix.tsx

@@ -64,7 +64,7 @@ export function EpssRiskMatrix({ data, onDotClick }: Props) {
   const zones = [
     { x1: 0,   x2: 0.1, y1: 0, y2: 7,  fill: '#1e8f19', label: t('epssMatrix.lowRisk'),      labelFill: '#1e8f19' },
     { x1: 0,   x2: 0.1, y1: 7, y2: 10, fill: '#ec7a08', label: t('epssMatrix.severe'),        labelFill: '#ec7a08' },
-    { x1: 0.1, x2: 1,   y1: 0, y2: 7,  fill: '#0066cc', label: t('epssMatrix.activelyExploited'), labelFill: '#0066cc' },
+    { x1: 0.1, x2: 1,   y1: 0, y2: 7,  fill: '#0066cc', label: t('epssMatrix.highLikelihood'), labelFill: '#0066cc' },
     { x1: 0.1, x2: 1,   y1: 7, y2: 10, fill: '#c9190b', label: t('epssMatrix.criticalRisk'),  labelFill: '#c9190b' },
   ]
 

frontend/src/i18n/de.json

@@ -93,7 +93,7 @@
     "MODERATE": "Mittel",
     "IMPORTANT": "Hoch",
     "CRITICAL": "Kritisch",
-    "tooltip": "CVSS-basierte Schweregradeinstufung vom NVD."
+    "tooltip": "Schweregradeinstufung der Scanner-Datenquelle (bei Red-Hat-Inhalten die Red Hat Security-Klassifizierung). Unabhängig vom NVD-CVSS-Score."
   },
   "status": {
     "requested": "Beantragt",
@@ -184,13 +184,13 @@
       "180+": ">180 Tage"
     },
     "help": {
-      "epssMatrix": "Die EPSS-Risikomatrix zeigt jede CVE als Punkt, positioniert nach CVSS-Schweregrad (Y-Achse) und EPSS-Ausnutzungswahrscheinlichkeit (X-Achse). CVEs oben rechts haben sowohl hohen Schweregrad als auch hohe Ausnutzungswahrscheinlichkeit und sollten zuerst bearbeitet werden.",
+      "epssMatrix": "Die EPSS-Risikomatrix zeigt jede CVE als Punkt, positioniert nach CVSS-Score (Y-Achse) und EPSS-Ausnutzungswahrscheinlichkeit (X-Achse). CVEs oben rechts haben sowohl hohen Schweregrad als auch hohe Ausnutzungswahrscheinlichkeit und sollten zuerst bearbeitet werden.",
       "pipeline": "Zeigt die aktuelle Verteilung aller Risikoakzeptanzen nach Status. So erkennen Sie auf einen Blick, wie viele Anträge offen, genehmigt, abgelehnt oder abgelaufen sind.",
       "severityDistribution": "Zeigt die Verteilung Ihrer sichtbaren CVEs nach Schweregrad. Klicken Sie auf ein Segment, um die entsprechenden CVEs gefiltert anzuzeigen.",
       "fixabilityBreakdown": "Zeigt, wie viele Ihrer CVEs durch ein Update behoben werden können und wie viele derzeit keinen Fix haben. Hilft bei der Priorisierung von Update-Maßnahmen.",
       "clusterHeatmap": "Zeigt die Verteilung von CVEs nach Cluster und Schweregrad. Cluster mit vielen kritischen CVEs sollten zuerst überprüft werden.",
       "mttr": "Audit-Kennzahl des Sicherheitsteams: die durchschnittliche Zeit in Tagen vom ersten Auftreten eines CVE bis zur Behebung, gruppiert nach Schweregrad. Erfasst das gesamte Expositionsfenster. Nur abgeschlossene, manuell erfasste Remediations werden berücksichtigt.",
-      "aging": "Zeigt, wie lange CVEs bereits bekannt sind. Alte, unbehandelte CVEs stellen ein erhöhtes Risiko dar und sollten priorisiert werden.",
+      "aging": "Zeigt, wie lange CVEs bereits in Ihrer Umgebung erkannt sind (seit dem ersten Auftreten in Ihren Images). Alte, unbehandelte CVEs stellen ein erhöhtes Risiko dar und sollten priorisiert werden.",
       "trend": "Zeigt die Anzahl neu entdeckter CVEs pro Tag in den letzten 90 Tagen, aufgeschlüsselt nach Schweregrad. Es werden nur CVEs berücksichtigt, die erstmals innerhalb dieses Zeitraums aufgetreten sind. Bereits länger bekannte CVEs erscheinen hier nicht, sind aber in der CVE-Liste weiterhin sichtbar.",
       "cveHistory": "Zeigt die tatsächliche Anzahl sichtbarer CVEs pro Tag, aufgeschlüsselt nach Schweregrad. Sinkende Linien bedeuten echten Fortschritt. Hinweis: Bei Teams mit mehreren Namespaces kann dieselbe CVE mehrfach gezählt werden (einmal pro Namespace).",
       "fixFirst": "Die wichtigsten CVEs für Ihr Team, sortiert nach Priorität des Sicherheitsteams, Ausnutzungswahrscheinlichkeit (EPSS) und Schweregrad. CVEs mit verfügbarem Fix stehen weiter oben - ein Image-Update behebt sie direkt.",
@@ -214,6 +214,7 @@
     "cveId": "CVE-ID",
     "severity": "Schweregrad",
     "cvss": "CVSS",
+    "cvssTooltip": "CVSS-Score der primären Datenquelle (bei Red-Hat-Inhalten der Red-Hat-Score). Kann vom NVD-Score abweichen.",
     "epss": "EPSS",
     "epssTooltip": "Wahrscheinlichkeit der Ausnutzung in den nächsten 30 Tagen (EPSS-Score von FIRST.org)",
     "affectedImages": "Betr. Images",
@@ -558,17 +559,17 @@
   },
   "remediations": {
     "title": "Behebungen",
-    "description": "CVE-Behebungsfortschritt pro Namespace von der Erstellung bis zur Verifizierung verfolgen.",
+    "description": "CVE-Behebungsfortschritt pro Namespace von der Erstellung bis zur Behebung verfolgen.",
     "whatAre": "Was sind Behebungen?",
-    "helpBody1": "Behebungen verfolgen die aktive Beseitigung von CVEs. Ein Team-Mitglied erstellt eine Behebung für eine CVE in seinem Namespace und verfolgt den Fortschritt bis zur Verifizierung durch das Security-Team.",
+    "helpBody1": "Behebungen verfolgen die aktive Beseitigung von CVEs. Ein Team-Mitglied erstellt eine Behebung für eine CVE in seinem Namespace und verfolgt den Fortschritt bis zur Behebung. Das Security-Team auditiert über das Audit-Log und den Wochenbericht.",
     "helpBody2Open": "Offen",
     "helpBody2OpenDesc": " - Behebung angelegt",
     "helpBody2InProgress": "In Bearbeitung",
     "helpBody2InProgressDesc": " - Aktiv daran gearbeitet",
     "helpBody2Resolved": "Behoben",
-    "helpBody2ResolvedDesc": " - CVE wurde beseitigt, wartet auf Verifizierung",
+    "helpBody2ResolvedDesc": " - CVE wurde beseitigt (Endstatus)",
     "helpBody2Verified": "Verifiziert",
-    "helpBody2VerifiedDesc": " - Vom Security-Team bestätigt",
+    "helpBody2VerifiedDesc": " - Veralteter Status aus früheren Versionen",
     "helpBody3": "Behebungen können automatisch als behoben markiert werden, wenn die CVE nicht mehr in den Deployments des Namespaces gefunden wird.",
     "helpLabel": "Hilfe zu Behebungen",
     "statusOpen": "Offen",
@@ -802,7 +803,7 @@
   "epssMatrix": {
     "lowRisk": "Niedriges Risiko",
     "severe": "Schwerwiegend",
-    "activelyExploited": "Aktiv ausgenutzt",
+    "highLikelihood": "Hohe Ausnutzungswahrscheinlichkeit",
     "criticalRisk": "Kritisches Risiko"
   },
   "suppressionRules": {

frontend/src/i18n/en.json

@@ -93,7 +93,7 @@
     "MODERATE": "Medium",
     "IMPORTANT": "High",
     "CRITICAL": "Critical",
-    "tooltip": "CVSS-based severity classification from NVD."
+    "tooltip": "Severity rating assigned by the scanner data source (the Red Hat security classification for Red Hat content). Independent of the NVD CVSS score."
   },
   "status": {
     "requested": "Requested",
@@ -184,13 +184,13 @@
       "180+": ">180 days"
     },
     "help": {
-      "epssMatrix": "The EPSS Risk Matrix plots each CVE by CVSS severity (Y-axis) and EPSS exploitation probability (X-axis). CVEs in the top-right have both high severity and high exploitation likelihood and should be addressed first.",
+      "epssMatrix": "The EPSS Risk Matrix plots each CVE by CVSS score (Y-axis) and EPSS exploitation probability (X-axis). CVEs in the top-right have both high severity and high exploitation likelihood and should be addressed first.",
       "pipeline": "Shows the current distribution of all risk acceptances by status. Quickly see how many requests are pending, approved, rejected, or expired.",
       "severityDistribution": "Shows the distribution of your visible CVEs by severity level. Click a segment to filter the vulnerability list accordingly.",
       "fixabilityBreakdown": "Shows how many of your CVEs can be fixed by an update vs. those with no fix available yet. Helps prioritize update efforts.",
       "clusterHeatmap": "Shows CVE distribution across clusters by severity. Clusters with many critical CVEs should be reviewed first.",
       "mttr": "Security-team audit metric: the average time in days from when a CVE was first seen to resolution, grouped by severity. Captures the full exposure window. Only completed, manually tracked remediations are included.",
-      "aging": "Shows how long CVEs have been known. Old, unaddressed CVEs represent increased risk and should be prioritized.",
+      "aging": "Shows how long CVEs have been present in your environment (since first seen in your images). Old, unaddressed CVEs represent increased risk and should be prioritized.",
       "trend": "Shows the number of newly discovered CVEs per day over the last 90 days, broken down by severity. Only CVEs first seen within this period are included. CVEs known for longer still appear in the CVE list but not in this chart.",
       "cveHistory": "Shows the actual number of visible CVEs per day, broken down by severity. Falling lines mean real progress. Note: for teams with multiple namespaces the same CVE may be counted once per namespace.",
       "fixFirst": "The most important CVEs for your team, ordered by security-team priority, exploitation probability (EPSS), and severity. CVEs with an available fix rank higher - an image update resolves them directly.",
@@ -214,6 +214,7 @@
     "cveId": "CVE ID",
     "severity": "Severity",
     "cvss": "CVSS",
+    "cvssTooltip": "CVSS score from the primary data source (the Red Hat score for Red Hat content). May differ from the NVD score.",
     "epss": "EPSS",
     "epssTooltip": "Probability of exploitation in the next 30 days (EPSS score from FIRST.org)",
     "affectedImages": "Affected Images",
@@ -558,17 +559,17 @@
   },
   "remediations": {
     "title": "Remediations",
-    "description": "Track CVE fix progress per namespace from creation to verification.",
+    "description": "Track CVE fix progress per namespace from creation to resolution.",
     "whatAre": "What are remediations?",
-    "helpBody1": "Remediations track active CVE resolution. A team member creates a remediation for a CVE in their namespace and tracks progress until verification by the security team.",
+    "helpBody1": "Remediations track active CVE resolution. A team member creates a remediation for a CVE in their namespace and tracks progress until resolution. The security team audits via the audit log and the weekly digest.",
     "helpBody2Open": "Open",
     "helpBody2OpenDesc": " - Remediation created",
     "helpBody2InProgress": "In Progress",
     "helpBody2InProgressDesc": " - Actively being worked on",
     "helpBody2Resolved": "Resolved",
-    "helpBody2ResolvedDesc": " - CVE has been fixed, awaiting verification",
+    "helpBody2ResolvedDesc": " - CVE has been fixed (terminal state)",
     "helpBody2Verified": "Verified",
-    "helpBody2VerifiedDesc": " - Confirmed by the security team",
+    "helpBody2VerifiedDesc": " - Legacy status from earlier versions",
     "helpBody3": "Remediations can be automatically marked as resolved when the CVE is no longer found in the namespace's deployments.",
     "helpLabel": "Help for remediations",
     "statusOpen": "Open",
@@ -802,7 +803,7 @@
   "epssMatrix": {
     "lowRisk": "Low risk",
     "severe": "Severe",
-    "activelyExploited": "Actively exploited",
+    "highLikelihood": "Likely to be exploited",
     "criticalRisk": "Critical risk"
   },
   "suppressionRules": {

frontend/src/pages/CveDetail.tsx

@@ -547,14 +547,16 @@ export function CveDetail() {
                     <DetailRow
                       label="CVSS"
                       value={
-                        <span
-                          style={{
-                            fontWeight: cve.cvss >= 9 ? 700 : 400,
-                            color: cve.cvss >= 9 ? "#c9190b" : "inherit",
-                          }}
-                        >
-                          {formatCvss(cve.cvss)}
-                        </span>
+                        <Tooltip content={t('cves.cvssTooltip')}>
+                          <span
+                            style={{
+                              fontWeight: cve.cvss >= 9 ? 700 : 400,
+                              color: cve.cvss >= 9 ? "#c9190b" : "inherit",
+                            }}
+                          >
+                            {formatCvss(cve.cvss)}
+                          </span>
+                        </Tooltip>
                       }
                     />
                     <DetailRow

frontend/src/pages/CveList.tsx

@@ -752,7 +752,7 @@ export function CveList() {
                     <Tr>
                       <Th sort={makeCveSort('cve_id')}>{t('cves.cveId')}</Th>
                       <Th sort={makeCveSort('severity')}>{t('cves.severity')}</Th>
-                      <Th sort={makeCveSort('cvss')}>{t('cves.cvss')}</Th>
+                      <Th sort={makeCveSort('cvss')} info={{ tooltip: t('cves.cvssTooltip') }}>{t('cves.cvss')}</Th>
                       <Th sort={makeCveSort('epss_probability')}>{t('cves.epss')}</Th>
                       <Th sort={makeCveSort('affected_images')}>{t('cves.affectedImages')}</Th>
                       <Th sort={makeCveSort('affected_deployments')}>{t('cves.affectedDeployments')}</Th>