在开源场景中，CVD 尤其复杂，因为一个库可能被数千个项目间接依赖，维护者需要逐层通知下游，且各项目的披露政策与响应能力参差不齐。