Aktuální je verze CVSS 4.0. Poskytuje technický jazyk; skóre CVSS není obchodní riziko, pravděpodobnost zneužití ani povinná priorita nápravy.
CVSS 4.0 odděluje metriky Base od metrik Threat a Environmental, přičemž doplňkové (Supplemental) metriky nesou další kontext bez změny skóre. Zveřejnění verze a úplného vektoru zachovává předpoklady za číslem a umožňuje konzumentům přizpůsobit hodnocení svému prostředí.
Klíčové body
Základní metrikyPopisují vnitřní technické charakteristiky a dopady za předpokladů rámce, nezávisle na nasazení konkrétního konzumenta a aktuálních informacích o hrozbách.
Kontextuální upřesněníMetriky Threat mohou reflektovat vyspělost zneužití, zatímco metriky Environmental umožňují konzumentovi zohlednit lokální kontroly, požadavky a modifikované technické podmínky.
KomunikacePoužívejte skóre s jeho vektorem, verzí, skupinou metrik, zdrojem a datem hodnocení; identická čísla mohou jinak skrývat podstatně odlišné podmínky útoku a dopady.
Důležité omezeníCVSS neměří hodnotu aktiva, obchodní důsledek, expozici, pravděpodobnost útoku, náklady nápravy ani účinnost kontrol jako kompletní model rizika, takže prioritizace pouze podle skóre může úsilí misrovat.