Aktuálna je verzia CVSS 4.0. Poskytuje technický jazyk; skóre CVSS nie je podnikové riziko, pravdepodobnosť zneužitia ani povinná priorita nápravy.
CVSS 4.0 oddeľuje základné metriky (Base) od metrík hrozieb (Threat) a prostredia (Environmental), pričom doplnkové metriky (Supplemental) nesú dodatočný kontext bez zmeny skóre. Publikovanie verzie a plného vektora zachováva predpoklady za číslom a umožňuje spotrebiteľom prispôsobiť hodnotenie svojmu prostrediu.
Kľúčové body
Základné metrikyOpisujú vnútorné technické charakteristiky a dopady za predpokladov rámca, nezávisle od konkrétneho nasadenia spotrebiteľa a aktuálnych informácií o hrozbách.
Kontextuálne spresnenieMetriky hrozieb môžu odrážať vyspelosť zneužitia, zatiaľ čo metriky prostredia umožňujú spotrebiteľovi zohľadniť lokálne kontroly, požiadavky a upravené technické podmienky.
KomunikáciaPoužívať skóre s jeho vektorom, verziou, skupinou metrík, zdrojom a dátumom hodnotenia; identické čísla môžu inak skrývať podstatne odlišné útočné podmienky a dopady.
Dôležité obmedzenieCVSS nemeria hodnotu aktíva, podnikový dôsledok, expozíciu, pravdepodobnosť útoku, náklady nápravy ani účinnosť kontrol ako kompletný model rizika, takže prioritizácia len podľa skóre môže usmerniť úsilie nesprávne.