Glosario
CVSS
Estándar para describir y puntuar las características intrínsecas de una vulnerabilidad, del 0 al 10, con independencia de dónde esté instalada.
- Common Vulnerability Scoring System
CVSS descompone una vulnerabilidad en vector de ataque, complejidad, privilegios requeridos, interacción del usuario e impacto sobre confidencialidad, integridad y disponibilidad. El resultado es una puntuación comparable entre productos y equipos, que es su virtud real.
Su límite está en lo que casi nadie usa. La puntuación que aparece en el CVE es sólo la base; el estándar incluye grupos de métricas adicionales —de amenaza y de entorno en CVSS v4.0, temporal y ambiental en v3.1— pensados precisamente para recoger si existe código de explotación y cuánto vale el activo en tu organización. Cuando alguien dice «priorizamos por CVSS» normalmente quiere decir que prioriza por la puntuación base de un tercero, es decir, por una métrica deliberadamente descontextualizada.
Publica siempre el vector completo junto a la cifra. Un «8,1» sin vector no se puede discutir ni recalcular; con vector, cualquiera puede ajustar las métricas de entorno y llegar a su propia conclusión.