Не всё так однозначно с этим подходом. Да, советы по разбору CVE полезны, но на практике часто получаешь кучу мусора из advisory и патчей, который сложно связать в единую цепочку. Эксплуатация — это не просто методология, а ещё и куча нюансов в коде, окружении и конфигурации, которые advisory не всегда отражают полноценно.