CVSS 3.1-calculator
Kies de acht basismetrieken om de CVSS 3.1-score, de ernst en de vectorstring te krijgen. De link wordt meteen bijgewerkt, zodat u het resultaat kunt delen.
Niets verlaat uw browser: de score wordt op deze pagina berekend.
Zo werkt het
Het Common Vulnerability Scoring System (CVSS) beoordeelt de technische ernst van een kwetsbaarheid op een schaal van 0,0 tot 10,0. Versie 3.1 baseert de score op acht metrieken. Vier beschrijven hoe de kwetsbaarheid wordt misbruikt, één geeft aan of de impact verder reikt dan het kwetsbare onderdeel (scope), en drie beschrijven de impact op vertrouwelijkheid, integriteit en beschikbaarheid. Deze calculator gebruikt de formules en de afrondingsregel uit de CVSS v3.1-specificatie van FIRST.
Het resultaat lezen
Scores horen bij een ernstniveau: 0,1 tot 3,9 is laag, 4,0 tot 6,9 gemiddeld, 7,0 tot 8,9 hoog en 9,0 tot 10,0 kritiek. De vectorstring legt elke keuze vast, zodat anderen kunnen zien hoe u tot de score bent gekomen. Hij staat ook in het paginaadres, dus een gekopieerde link geeft hetzelfde resultaat.
De basisscore beschrijft de kwetsbaarheid, niet het risico voor uw organisatie. Blootstelling, bestaande maatregelen, actief misbruik en de waarde van het getroffen systeem tellen allemaal mee als u bepaalt wat u als eerste oplost.
Vragen
Moet ik CVSS 3.1 of 4.0 gebruiken?
CVSS 4.0 is in 2023 gepubliceerd, maar veel beveiligingsadviezen en kwetsbaarheidsdatabases gebruiken nog 3.1. Gebruik de versie die uw publiek verwacht en vermeld altijd de vector bij de score.
Wat betekent Scope: Gewijzigd?
Het kwetsbare onderdeel en het getroffen onderdeel vallen onder verschillende beveiligingsdomeinen, bijvoorbeeld wanneer een gast uit een virtuele machine ontsnapt en de host bereikt. Dit verhoogt de score.
Waarom wijkt mijn score af van die van de leverancier?
Meestal door een andere keuze bij een metriek, vaak de aanvalsvector, de vereiste rechten of de scope. Vergelijk de vectorstrings in plaats van de getallen.
Worden temporele en omgevingsmetrieken ondersteund?
Nog niet. Vectoren met deze metrieken worden wel geladen, maar die metrieken worden genegeerd en alleen de basisscore wordt getoond.
Meer nodig dan een tool kan laten zien?
Een tool controleert één ding. Onze consultants kijken naar het geheel.
PenetratietestenGerelateerde artikelen
-
Cyber Resilience Act: stappenplan 2026 voor productmakers
Wat software- en hardwareteams moeten regelen voordat CRA-verplichtingen gelden: ontwikkelbewijs, kwetsbaarhedenbeheer, updates en documentatie.
-
CVSS, EPSS en KEV: zo stelt u prioriteiten bij kwetsbaarheden
Waarom een CVSS-basisscore alleen weinig zegt over prioriteit, hoe EPSS en de KEV-catalogus van CISA dreigingscontext bieden, en een simpele patchvolgorde.