Aktualna jest wersja CVSS 4.0. Zapewnia język techniczny; wynik CVSS nie jest ryzykiem biznesowym, prawdopodobieństwem wykorzystania ani obowiązkowym priorytetem naprawy.
CVSS 4.0 oddziela metryki bazowe (Base) od metryk zagrożenia (Threat) i środowiskowych (Environmental), a metryki uzupełniające (Supplemental) niosą dodatkowy kontekst bez zmiany wyniku. Publikacja wersji i pełnego wektora zachowuje założenia stojące za liczbą i pozwala odbiorcom dostosować ocenę do własnego środowiska.
Najważniejsze punkty
Metryki bazoweOpisują wewnętrzne cechy techniczne i skutki według założeń ram, niezależnie od wdrożenia konkretnego odbiorcy i bieżących informacji o zagrożeniach.
Doprecyzowanie kontekstoweMetryki Threat mogą odzwierciedlać dojrzałość wykorzystania, a metryki Environmental pozwalają odbiorcy uwzględnić lokalne kontrole, wymagania i zmodyfikowane warunki techniczne.
KomunikacjaPodawaj wynik razem z wektorem, wersją, grupą metryk, źródłem i datą oceny; identyczne liczby mogą w przeciwnym razie ukrywać istotnie różne warunki ataku i skutki.
Istotne ograniczenieCVSS nie mierzy wartości zasobu, konsekwencji biznesowych, ekspozycji, prawdopodobieństwa ataku, kosztu naprawy ani skuteczności kontroli jako kompletny model ryzyka, więc priorytetyzacja oparta wyłącznie na wyniku może błędnie kierować wysiłkiem.