Buenas! Estuve explorando en cve.mitre.org las vulnerabilidades que hay para determinados productos, las cuales suelen ser unas cuantas. Pero a la hora de buscar exploits para dichas vulnerabilidades, (incluyendo exploits de exploit-db, y buscando los exploits en google en general, ya que por ejemplo, a veces hay exploits que se encuentran en github y no en exploit-db), el número de exploits suele ser bajo, es decir hay muchas vulnerabilidades conocidas, etiqutadas con una CVE, pero no hay exploits publicos para explotar a cada una de ellas... De hecho noté que hay exploits que se suben pasado por ejemplo un año de haberse descubierto la vulnerabilidad.

Mis incógnitas son:
Cuando un pentester encuentra una cve que afecte al producto que está analizando pero no encuentra un exploit para afectar dicha vulnerabilidad, se supone que tendría que crear su propio exploit?
Se pueden escribir exploits para todas las CVE? O hay CVE que directamente no se puedan explotar?
En caso de que lo anterior sea positivo, supongo que deberían existir exploits para todas las vulnerabilidades ya creados aunque no hechos públicos, cosa que me resulta extraña, ya que debe haber mucha gente que se dedique a la seguridad informática con ganas de compartir lo que crea. Es decir, en internet está prácticamente todo, ya que alguna u otra persona termina compartiendo determinado conocimiento.

Saludos y gracias de antemano!