CVE-2020-28500 被两个工具报了两遍，我顺着查到了共同上游 NVD

漏洞扫描最常互相印证的两个源——GitHub Advisory Database 和 Google OSV——不是独立证据，它们有同一个上游 NVD。走一条真实记录闭合链条：api.osv.dev 查 lodash，返回的 id 本身就是 GHSA-29mw-wpgm-hmr9，NVD 的 CVE 号挂在 aliases 里。