Un modello di gravità è il framework che i team di sicurezza usano per classificare le vulnerabilità in base al rischio e all'urgenza. Aiuta a decidere se un bug è basso, medio, alto o critico in base a fattori come sfruttabilità, impatto e se può portare a esecuzione di codice, elevazione dei privilegi o fuga dal sandbox.
Nella pratica, i modelli di gravità guidano le priorità di correzione, il linguaggio delle divulgazioni e la risposta agli incidenti. Un difetto del browser che può eseguire codice dell'attaccante o violare l'isolamento viene di solito valutato come più grave rispetto a un crash o a una piccola perdita di informazioni, perché può favorire sfruttamento drive-by o attacchi concatenati. I difensori usano queste classificazioni per concentrare il tempo limitato sui problemi con maggiore probabilità di essere trasformati in armi, mentre gli attaccanti cercano bug ad alta gravità perché offrono il ritorno più grande. Un buon punteggio di gravità non sostituisce l'analisi, ma rende più semplice smistare rapidamente grandi insiemi di patch e rispondere in tempi brevi.