Calcula puntuaciones base CVSS v3.1 y evalúa la severidad de vulnerabilidades con métricas de vector de ataque, complejidad e impacto.
Probar Vulnerabilidades de Ejemplo
También podrías encontrar útiles estas calculadoras
Calcula puntuaciones de severidad de riesgo usando marcos ISO 27001 y NIST
Estima el impacto financiero de una violación de datos
Evalúa el riesgo de seguridad y cumplimiento de proveedores externos
Evalúa riesgos de seguridad y vulnerabilidades de dependencias de software
El Sistema Común de Puntuación de Vulnerabilidades (CVSS) es el estándar de la industria para evaluar vulnerabilidades de seguridad en sistemas informáticos. Nuestra calculadora implementa la especificación oficial CVSS v3.1 de FIRST.org para ayudar a profesionales de seguridad a puntuar vulnerabilidades con precisión.
El Sistema Común de Puntuación de Vulnerabilidades (CVSS) es un estándar abierto de la industria para calificar la gravedad de las vulnerabilidades de seguridad del software en una escala de 0.0 a 10.0. La puntuación Base se deriva de métricas que describen cómo puede explotarse una vulnerabilidad (vector de ataque, complejidad, privilegios requeridos, interacción del usuario y alcance) y su impacto en la confidencialidad, la integridad y la disponibilidad. Estas métricas se combinan mediante una fórmula definida en una puntuación numérica que corresponde a calificaciones cualitativas: Ninguna (0.0), Baja (0.1–3.9), Media (4.0–6.9), Alta (7.0–8.9) y Crítica (9.0–10.0). Las métricas opcionales Temporal y Ambiental pueden ajustar la puntuación Base según la madurez del exploit y el contexto específico de una organización, ayudando a priorizar qué vulnerabilidades corregir primero.
Un analista de seguridad puntúa una falla recién descubierta para decidir con qué urgencia debe parchearse frente a otros problemas abiertos
Un equipo de TI recalcula la puntuación CVSS de un CVE reportado usando sus propios factores ambientales para medir la exposición real
Un auditor documenta las calificaciones de severidad de cada hallazgo para cumplir requisitos regulatorios o de clientes
Un investigador justifica la severidad de una vulnerabilidad enviada para respaldar el nivel de recompensa en un informe de divulgación
CVSS es usado por la Base de Datos Nacional de Vulnerabilidades (NVD), CVE y proveedores de seguridad en todo el mundo para evaluación consistente de vulnerabilidades.
Las puntuaciones CVSS ayudan a equipos de seguridad a priorizar qué vulnerabilidades corregir primero basándose en severidad e impacto potencial.
CVSS proporciona un marco abierto y estandarizado que funciona en todas las plataformas y proveedores.
Las clasificaciones claras de severidad (Crítico, Alto, Medio, Bajo) facilitan comunicar el riesgo a las partes interesadas.
CVSS (Sistema Común de Puntuación de Vulnerabilidades) es un método estandarizado para calificar la severidad de vulnerabilidades de seguridad. Las puntuaciones van de 0.0 a 10.0, con puntuaciones más altas indicando vulnerabilidades más severas.
Ninguna (0.0): Sin impacto. Baja (0.1-3.9): Vulnerabilidad menor. Media (4.0-6.9): Riesgo moderado. Alta (7.0-8.9): Vulnerabilidad seria que requiere atención pronta. Crítica (9.0-10.0): Extremadamente severa, requiere acción inmediata.
CVSS v3.1 es una actualización menor que aclara la guía de puntuación y aborda conceptos erróneos comunes. La fórmula es la misma, pero la especificación proporciona mejores ejemplos y definiciones más claras.
El Alcance indica si una vulnerabilidad impacta recursos más allá de su ámbito de seguridad. Alcance 'Cambiado' significa que la vulnerabilidad puede afectar otros componentes (ej., escape de VM afectando el host). 'Sin Cambio' significa que el impacto permanece dentro del componente vulnerable.
La cadena vector (ej., CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) codifica todos los valores de métricas. AV=Vector de Ataque, AC=Complejidad de Ataque, PR=Privilegios Requeridos, UI=Interacción de Usuario, S=Alcance, C/I/A=Impacto en Confidencialidad/Integridad/Disponibilidad.
CVSS proporciona consistencia y comparabilidad. Usar un sistema estándar significa que todos—proveedores, investigadores y equipos de seguridad—pueden comunicarse sobre severidad de vulnerabilidades en un lenguaje común.