Eine Zuordnung entsteht aus zwei Dingen: der erkannten Komponente mit Version aus dem Image, und der Angabe einer der 18 Quellen, welche Versionen betroffen sind. Trifft die Version den Bereich, entsteht eine Zeile im Katalog, mit Quelle und Rang.
Was sie beweist: dass diese Komponente in dieser Version in diesem Image liegt und in der genannten Quelle als betroffen geführt wird. Was sie nicht beweist: dass der verwundbare Code auf dem Gerät erreichbar ist. Auf zwei ausgelieferten Releases einer Steuerung trägt der Versionsabgleich auf 98,5 bis 99,1 % der Zeilen die Markierung assumed. Der Bericht druckt diese Markierung an jede Zeile, damit ein Prüfer sieht, welche Aussage er in der Hand hält.