CVSSCommon Vulnerability Scoring System
Definición
Sistema estándar para puntuar la severidad de una vulnerabilidad en una escala 0–10. Combina vector de ataque, complejidad, privilegios requeridos, interacción de usuario e impacto en C, I, A.
CVSS (actualmente v3.1, con v4.0 en transición) traduce las propiedades de un fallo en un score numérico que ayuda a priorizar parches. El vector es lo más importante: dice cómo y dónde un atacante puede explotar el bug.
Un CVSS 9.8 (Crítico) típicamente significa: explotable remotamente (network), sin autenticación (PR:None), sin interacción del usuario (UI:None), e impacto alto en confidencialidad/integridad/disponibilidad. Eso suele ser RCE no autenticado — parchear YA.
CVSS Base es solo una cara. CVSS Temporal añade contexto (¿hay exploit público? ¿hay parche?), y CVSS Environmental ajusta por tu infraestructura. Muchos equipos solo miran Base, pero priorizar bien requiere usar Temporal cuando tienes evidencia de explotación in-the-wild.