Calcolatore CVSS 3.1
Scelga le otto metriche base per ottenere punteggio CVSS 3.1, gravità e vettore. Il link si aggiorna a ogni scelta, così può condividere il risultato.
Nulla lascia il browser: il punteggio viene calcolato in questa pagina.
Come funziona
Il Common Vulnerability Scoring System (CVSS) valuta la gravità tecnica di una vulnerabilità su una scala da 0,0 a 10,0. La versione 3.1 basa il punteggio su otto metriche. Quattro descrivono come viene sfruttata la vulnerabilità, una indica se l’impatto va oltre il componente vulnerabile (ambito) e tre descrivono l’impatto su riservatezza, integrità e disponibilità. Questo calcolatore usa le formule e la regola di arrotondamento della specifica FIRST CVSS v3.1.
Come leggere il risultato
I punteggi corrispondono a livelli di gravità: da 0,1 a 3,9 bassa, da 4,0 a 6,9 media, da 7,0 a 8,9 alta e da 9,0 a 10,0 critica. Il vettore registra ogni scelta, così altri possono vedere come si è arrivati al punteggio. Il vettore viene salvato anche nell’indirizzo della pagina, quindi un link copiato riproduce il risultato.
Il punteggio base descrive la vulnerabilità, non il rischio per la sua organizzazione. Esposizione, controlli esistenti, sfruttamento attivo e valore del sistema interessato contano tutti quando si decide cosa correggere per primo.
Domande frequenti
Conviene usare CVSS 3.1 o 4.0?
CVSS 4.0 è stato pubblicato nel 2023, ma molti bollettini e database di vulnerabilità usano ancora la 3.1. Usi la versione che il suo pubblico si aspetta e indichi sempre il vettore insieme al punteggio.
Cosa significa Ambito: Modificato?
Il componente vulnerabile e il componente interessato sono sotto autorità di sicurezza diverse, ad esempio quando un sistema guest evade dalla macchina virtuale e raggiunge l’host. Questo aumenta il punteggio.
Perché il mio punteggio è diverso da quello del vendor?
Di solito per una scelta diversa di una metrica, spesso il vettore di attacco, i privilegi o l’ambito. Confronti i vettori anziché i numeri.
Le metriche temporali e ambientali sono supportate?
Non ancora. I vettori che le contengono vengono comunque caricati: quelle metriche vengono ignorate e viene mostrato solo il punteggio base.
Le serve più di quanto possa mostrare uno strumento?
Uno strumento verifica un singolo aspetto. I nostri consulenti guardano il quadro completo.
Penetration testArticoli correlati
-
Cyber Resilience Act: un piano 2026 per i produttori
Cosa predisporre prima che scattino gli obblighi del CRA: evidenze di sviluppo, gestione delle vulnerabilità, aggiornamenti e documentazione.
-
CVSS, EPSS e KEV: come dare priorità alle vulnerabilità
Perché il solo punteggio base CVSS è un debole indicatore di priorità, come EPSS e il catalogo KEV della CISA aggiungono contesto e un ordine semplice per le patch.