CVSS (Common Vulnerability Scoring System)

CVSS evalúa las vulnerabilidades mediante tres grupos de métricas: Base (propiedades intrínsecas como vector de ataque, complejidad, privilegios requeridos e impacto CIA), Temporal/Amenaza (madurez del exploit, remediación) y Entorno (ajustada al despliegue concreto). La puntuación Base, expresada como número y como cadena de vector, es la que aparece en la mayoría de las entradas CVE. CVSS v3.1 es la versión dominante y v4.0 refina las métricas para IoT y la severidad suplementaria. Las puntuaciones deben combinarse con contexto de negocio, criticidad del activo y señales de EPSS o KEV: una CVSS alta no implica siempre alto riesgo real y una baja puede ser crítica en un entorno concreto.