Calculadora CVSS 3.1
Elija las ocho métricas base para obtener la puntuación CVSS 3.1, la gravedad y el vector. El enlace se actualiza sobre la marcha, así que puede compartir el resultado.
Nada sale de su navegador: la puntuación se calcula en esta página.
Cómo funciona
El Common Vulnerability Scoring System (CVSS) valora la gravedad técnica de una vulnerabilidad de 0,0 a 10,0. La versión 3.1 basa la puntuación en ocho métricas. Cuatro describen cómo se explota la vulnerabilidad, una indica si el impacto va más allá del componente vulnerable (alcance) y tres describen el impacto en la confidencialidad, la integridad y la disponibilidad. Esta calculadora usa las fórmulas y la regla de redondeo de la especificación CVSS v3.1 de FIRST.
Cómo interpretar el resultado
Las puntuaciones se corresponden con niveles de gravedad: de 0,1 a 3,9 es baja; de 4,0 a 6,9, media; de 7,0 a 8,9, alta, y de 9,0 a 10,0, crítica. El vector recoge cada elección, de modo que otros pueden ver cómo se ha llegado a la puntuación. También se guarda en la dirección de la página, así que un enlace copiado reproduce el resultado.
La puntuación base describe la vulnerabilidad, no el riesgo para su organización. La exposición, los controles existentes, la explotación activa y el valor del sistema afectado también cuentan a la hora de decidir qué corregir primero.
Preguntas
¿Debo usar CVSS 3.1 o 4.0?
CVSS 4.0 se publicó en 2023, pero muchos avisos y bases de datos de vulnerabilidades siguen usando la 3.1. Use la versión que espera su público y dé siempre el vector junto con la puntuación.
¿Qué significa «Alcance: Con cambios»?
El componente vulnerable y el componente afectado están bajo autoridades de seguridad distintas, por ejemplo un invitado que escapa de una máquina virtual y llega al anfitrión. Eleva la puntuación.
¿Por qué mi puntuación difiere de la del fabricante?
Normalmente por haber elegido otro valor en alguna métrica, a menudo el vector de ataque, los privilegios o el alcance. Compare los vectores, no los números.
¿Se admiten las métricas temporales y de entorno?
Todavía no. Los vectores que las incluyen se cargan igualmente; esas métricas se ignoran y solo se muestra la puntuación base.
¿Necesita más de lo que puede mostrar una herramienta?
Una herramienta comprueba una sola cosa. Nuestros consultores ven el conjunto.
Pruebas de penetraciónArtículos relacionados
-
Cyber Resilience Act: plan 2026 para fabricantes de productos
Qué preparar antes de que se apliquen las obligaciones de la CRA: evidencias de desarrollo, gestión de vulnerabilidades, actualizaciones y documentación.
-
CVSS, EPSS y KEV: cómo priorizar las vulnerabilidades
Por qué la puntuación base CVSS no basta para priorizar, cómo EPSS y el catálogo KEV de CISA añaden contexto de amenaza y un orden sencillo para parchear.