Un punteggio CVSS è una valutazione numerica che stima quanto sia grave una vulnerabilità. Si basa su fattori come la facilità con cui il difetto può essere sfruttato, l'accesso richiesto da un attaccante e il possibile impatto su riservatezza, integrità e disponibilità. I punteggi vanno in genere da 0.0 a 10.0, con valori più alti che indicano una gravità maggiore.
Nella sicurezza informatica, CVSS aiuta i team a confrontare le vulnerabilità e a stabilire le priorità delle correzioni, soprattutto quando molti problemi competono per l'attenzione. Un punteggio elevato non dimostra uno sfruttamento attivo, ma spesso segnala che un difetto potrebbe essere pericoloso se esposto agli attaccanti. In pratica, i difensori usano CVSS insieme al contesto, come l'esposizione a Internet, il valore dell'asset e le prove di abuso nel mondo reale. Ad esempio, un problema critico valutato 9.8 su un sistema di gestione o di commercio può richiedere una correzione immediata, perché un compromesso potrebbe portare alla presa di controllo dell'account o all'esecuzione di codice.