Calculadora CVSS (v3.1 y v4.0): puntuación y vector
Puntúa una vulnerabilidad con las fórmulas oficiales de FIRST.org para CVSS v3.1 y v4.0, obtén el vector o decodifica uno de un aviso CVE.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Puntúa una vulnerabilidad con el Common Vulnerability Scoring System, en v3.1 o en v4.0. Eliges las métricas y la puntuación, la banda de gravedad y el vector canónico se actualizan en directo, o pegas un vector de un aviso CVE (por ejemplo CVSS:3.1/AV:N/AC:L/... o CVSS:4.0/AV:N/...) para decodificarlo en sus métricas y recalcular la puntuación. CVSS v3.1 implementa exactamente las ecuaciones oficiales de FIRST.org (Base, Temporal y Environmental); CVSS v4.0 usa la tabla oficial de MacroVector de FIRST y su interpolación, no una aproximación. Una puntuación CVSS va de 0,0 a 10,0 y se asigna a None (0,0), Low (0,1–3,9), Medium (4,0–6,9), High (7,0–8,9) y Critical (9,0–10,0). Todo es determinista y se ejecuta en tu navegador: nada de lo que introduces sale de él. Es una herramienta Pro.
- Elige la versión: CVSS v3.1 o v4.0.
- Selecciona las métricas Base y, si quieres, las Temporal/Threat y Environmental.
- Lee la puntuación, la banda de gravedad y el vector canónico, que se actualizan en directo.
- O pega un vector de un aviso CVE en «Decode a vector» para ver cada métrica y la puntuación recalculada.
Preguntas frecuentes
¿Qué es una puntuación CVSS?
CVSS (Common Vulnerability Scoring System) es el estándar abierto y neutral respecto a los fabricantes, mantenido por FIRST.org, para calificar la gravedad de una vulnerabilidad de software. Una puntuación CVSS es un número de 0,0 a 10,0 que se obtiene de un conjunto de métricas que describen cómo se explota la vulnerabilidad (vector de ataque, complejidad, privilegios, interacción del usuario) y su impacto (confidencialidad, integridad, disponibilidad). La puntuación se asigna a una gravedad cualitativa: None (0,0), Low (0,1–3,9), Medium (4,0–6,9), High (7,0–8,9) y Critical (9,0–10,0). Las elecciones exactas de las métricas se recogen en un «vector» compacto para que cualquiera pueda reproducir la puntuación.
¿Cuál es la diferencia entre CVSS v3.1 y v4.0?
CVSS v3.1 (2019) puntúa con ecuaciones cerradas sobre los grupos de métricas Base, Temporal y Environmental, y un único indicador Scope para el impacto que cruza un límite de seguridad. CVSS v4.0 (2023) es un rediseño importante: divide el impacto en métricas del sistema vulnerable (VC/VI/VA) y del sistema subsiguiente (SC/SI/SA), añade Attack Requirements (AT), renombra el grupo Temporal como Threat, añade métricas Supplemental y, lo más importante, no tiene una fórmula única. La puntuación v4.0 se obtiene asignando el vector a un MacroVector, buscándolo en una tabla oficial publicada por FIRST e interpolando. Esta calculadora implementa ambos métodos exactamente como los especifica FIRST.
¿Es precisa u oficial esta calculadora CVSS?
La lógica de puntuación reproduce las implementaciones de referencia de FIRST.org. El motor v3.1 reproduce las ecuaciones de la especificación de FIRST (incluida la regla exacta de «roundup») y coincide con la calculadora oficial de FIRST en todas las combinaciones de métricas base. El motor v4.0 es una adaptación directa del algoritmo de MacroVector de referencia de FIRST e incluye la tabla de consulta oficial de FIRST, y coincide con la calculadora de referencia en miles de vectores de prueba. FIRST.org sigue siendo la fuente autorizada del estándar.
¿Cómo se lee un vector CVSS?
Un vector es una lista de pares métrica:valor separados por barras, con la versión como prefijo; por ejemplo, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Cada par fija una métrica: AV:N significa Attack Vector = Network, C:H significa impacto en la confidencialidad = High, y así sucesivamente. El vector es el registro portátil, legible por personas y por máquinas, de cómo se llegó a una puntuación. Pega uno en el cuadro «Decode a vector» para ver cada métrica seleccionada y la puntuación recalculada.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba; después necesitas Pro.