Herramienta gratuita
Calculadora CVSS 3.1
Puntúa la severidad de una vulnerabilidad: selecciona las métricas y obtén el score base, la severidad y el vector CVSS 3.1 al instante. Todo se calcula en tu navegador, sin enviar nada a ningún servidor.
Desde dónde se explota la vulnerabilidad.
Condiciones que debe reunir el atacante para explotarla.
Nivel de cuenta que necesita el atacante.
Si hace falta que una víctima haga algo.
Si el impacto se queda en el componente vulnerable o cruza a otro.
Pérdida de confidencialidad de la información.
Modificación de datos sin autorización.
Impacto sobre el servicio o su disponibilidad.
Score base CVSS 3.1
Vector
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Se calcula el score base, el que aparece en un CVE. No incluye las métricas temporal (exploit disponible) ni ambiental (criticidad de tus activos).
Qué es el CVSS y para qué sirve
El CVSS (Common Vulnerability Scoring System) es el estándar abierto para expresar, con un número de 0 a 10, lo grave que es una vulnerabilidad. Es el idioma común que usan fabricantes, CVE, escáneres y auditores para que todos hablen de la misma severidad.
El score base CVSS 3.1 se calcula con ocho métricas: cuatro de explotabilidad (vector de ataque, complejidad, privilegios e interacción de usuario) y cuatro de impacto (alcance y efecto sobre confidencialidad, integridad y disponibilidad). Esta calculadora aplica la fórmula oficial de FIRST para darte la puntuación y el vector exactos.
Cómo se interpreta la puntuación
- 0.0 — Ninguna. Sin impacto relevante.
- 0.1 - 3.9 — Baja. Impacto limitado o difícil de explotar.
- 4.0 - 6.9 — Media. Requiere condiciones o tiene impacto parcial.
- 7.0 - 8.9 — Alta. Explotable con impacto serio.
- 9.0 - 10.0 — Crítica. Explotable por red, sin privilegios, con impacto total.
CVSS no es lo mismo que riesgo
Un 9.8 no significa automáticamente "corregir mañana" ni un 5.0 significa "puede esperar". El CVSS mide la severidad técnica de la vulnerabilidad, no el riesgo para tu organización. Ese riesgo combina la severidad con la exposición del activo, si hay datos sensibles detrás y si existe un exploit público. Por eso en un informe de pentesting cada hallazgo lleva su CVSS, pero la priorización se hace con una matriz de riesgo que lo traduce a impacto de negocio.
Si quieres entender cómo se traducen los hallazgos de una prueba a un informe que tu equipo pueda ejecutar, empieza por ver cómo contratar un pentesting o el glosario de ciberseguridad.
Una puntuación no es una auditoría
Calcular el CVSS de un hallazgo es el último paso de un trabajo más largo: encontrar antes esa vulnerabilidad explotándola de verdad. Eso es lo que hacemos en un pentesting.
Preguntas frecuentes
¿Qué es la puntuación CVSS?
Es un número de 0 a 10 que expresa la severidad de una vulnerabilidad según el estándar CVSS. El score base se calcula con ocho métricas y es el que aparece en los CVE.
¿Qué diferencia hay entre base, temporal y ambiental?
El base describe la vulnerabilidad en sí y no cambia. El temporal ajusta según si hay exploit, código funcional o parche. El ambiental lo adapta al impacto real en tu organización. Esta calculadora da el score base.
¿Cómo se interpreta la puntuación?
0.1-3.9 baja, 4.0-6.9 media, 7.0-8.9 alta y 9.0-10.0 crítica. Resume la severidad técnica, no el riesgo para tu negocio.
¿Qué diferencia hay entre CVSS 3.1 y CVSS 4.0?
El CVSS 4.0 añade métricas y refina la evaluación de sistemas vulnerables y posteriores, pero el 3.1 sigue siendo el más extendido en CVE e informes. Esta herramienta usa 3.1, el formato que verás en la mayoría de auditorías.
¿El CVSS sirve para priorizar correcciones?
Es el punto de partida, no la decisión final. La priorización real cruza la severidad con la exposición del activo, los datos que hay detrás y si existe exploit público.