该分数如何构成
最常见的基础分指标描述漏洞如何被利用以及它影响什么：攻击向量（网络、相邻、本地、物理）、攻击复杂度、所需权限、用户交互、影响范围，以及对保密性、完整性与可用性的影响。这些指标共同得出 0 到 10 的基础分。Vexaro 以 CVSS 3.1 为发现评分；FIRST 也发布了 CVSS v4.0（2023 年发布），因此报告应注明所采用的版本。
安全术语表
什么是 CVSS？
CVSS（通用漏洞评分系统，由 FIRST 维护）是一项开放标准，用 0.0 到 10.0 之间的数字表示漏洞的技术严重程度。它为所有人提供了一种统一、可重复的方式来讨论一项发现有多严重，让「高严重程度」在不同报告与工具中大致表示同一含义。
各严重程度区间
CVSS 3.1 将分数划分为定性区间：无（0.0）、低（0.1-3.9）、中（4.0-6.9）、高（7.0-8.9）与严重（9.0-10.0）。人们说某项发现「严重」或「中」时，通常指的就是这些区间，借助它们可以一眼按优先级对报告排序。
基础、时间与环境
基础分反映的是不随时间变化的内在严重程度。两个可选的指标组会对其加以细化：时间组反映利用成熟度等因素，环境组则根据您的具体环境进行调整。例如，仅限内部访问的系统上的问题，其重要性可能低于暴露在互联网上的同一问题。一份好的报告不会止步于基础分，而会结合具体情况把严重程度转化为业务风险。
CVSS 是什么，又不是什么
CVSS 衡量的是软件漏洞的严重程度。它本身并不是风险分数，也不是为纯配置类或合规态势类发现设计的，这类发现更适合按相应基准自身的严重程度来评级。请把基础分当作一个统一的起点，再结合您的具体情况权衡可利用性与影响。高质量的渗透测试报告正是这样使用它的。
常见问题
CVSS（通用漏洞评分系统）是由 FIRST 维护的开放标准，用 0.0 到 10.0 之间的数字表达漏洞的技术严重程度，使「高严重程度」在不同报告和工具中含义大致相同。Vexaro 使用 CVSS 3.1 为发现评分；FIRST 也发布了 v4.0，因此报告应注明所采用的版本。
CVSS 3.1 将基础分划分为定性区间：无（0.0）、低（0.1-3.9）、中（4.0-6.9）、高（7.0-8.9）和严重（9.0-10.0）。人们把某项发现称为「严重」或「中危」时，指的通常就是这些区间，它们也让您能一眼按优先级对报告排序。
不等同。CVSS 衡量的是漏洞的技术严重程度，而非风险本身，也不适用于纯配置类或合规态势类的发现。基础分是一个统一的起点；时间（Temporal）和环境（Environmental）指标（例如系统是仅限内部访问还是暴露在互联网上）有助于结合具体情况将其转化为业务风险。