CVSS 基础评分怎么算
CVSS 3.1 的基础分由八项指标组合而成：攻击向量、攻击复杂度、所需权限、用户交互、影响范围，以及机密性、完整性、可用性三项影响。评分的关键不是记公式，而是每项都要有事实依据：网络可达还是本地、条件是否苛刻、需不需要账号、是否需要诱导用户点击。同一漏洞不同评测者给出不同分数是正常的，因此要保留计算过程。
基本信息
| 指标集合 | AV / AC / PR / UI / S / C / I / A |
|---|---|
| 分档区间 | 0.0 无、0.1-3.9 低、4.0-6.9 中、7.0-8.9 高、9.0-10.0 严重 |
| 标注要求 | 写明所用 CVSS 版本号，避免跨期不可比 |
| 配套使用 | 与业务定级同时给出，冲突时记录取舍理由 |
典型使用场景
- 报告中为每条发现给出可复核的评分依据
- 多项目并行时统一评分口径
- 整改排期时把评分与业务影响结合排序
- 复测时对比分数变化，说明修复效果
- 与客户既有评分体系对齐时的转换说明
向量示例
向量示例
信息泄露类（需普通账号、仅影响机密性）：
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N → 6.5（中）
解读：网络可达、复杂度低、需普通账号、无需用户交互、仅机密性受影响
越权写入类（可修改他人数据）：
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N → 8.1（高）
解读：需要账号但可修改他人数据，完整性影响高指标与判据
| 指标 | 含义 | 取值依据 |
|---|---|---|
| AV 攻击向量 | 从哪发起 | 网络 / 相邻 / 本地 / 物理 |
| AC 攻击复杂度 | 是否需要特殊条件 | 低：条件稳定可复现 |
| PR 所需权限 | 发起前需不需要账号 | 无 / 低权限 / 高权限 |
| UI 用户交互 | 是否需诱导他人操作 | 无 / 需交互 |
| S 影响范围 | 是否跨安全边界 | 未变化 / 变化 |
| C/I/A 影响 | 三类影响程度 | 无 / 低 / 高 |
不标注版本号会导致不同期分数不可比：CVSS 3.1 与 4.0 的指标结构不同，混用会让整改优先级排序失去意义。
PR 与 AC 是最容易填写口径不一致的两项：建议在项目开始时与客户确认判据（例如“需要任意注册账号”记为低权限），全篇沿用同一口径。