CVSS puanı; saldırının ağ üzerinden mi yerel olarak mı yapılabildiği, karmaşıklığı, gereken yetki ve kullanıcı etkileşimi ile gizlilik, bütünlük ve erişilebilirlik üzerindeki etki gibi ölçütlerden hesaplanır. Nitel ciddiyet aralıkları şöyledir:
| Puan | Ciddiyet |
|---|---|
| 0.0 | Yok |
| 0.1 – 3.9 | Düşük |
| 4.0 – 6.9 | Orta |
| 7.0 – 8.9 | Yüksek |
| 9.0 – 10.0 | Kritik |
Önemli not: CVSS temel puanı bir zafiyetin teknik ciddiyetini gösterir, kurumunuz için gerçek riskini değil. Yüksek puanlı ama yalnızca iç ağda erişilebilen bir açık, orta puanlı ama internete açık ve aktif istismar edilen bir açıktan daha az acil olabilir. Bu nedenle önceliklendirmede CVSS'i KEV kataloğu, varlığın kritikliği ve internete açıklık bilgisiyle birlikte kullanın.