A CVSS (Common Vulnerability Scoring System) azt méri, mennyire könnyű kihasználni egy hibát és mekkora kárt okozhat. Számít, hogy kell-e hozzá belépés vagy a felhasználó közreműködése, illetve mit ér el a támadó: adatot olvas, módosít vagy leállítja a rendszert.
A sávok
| Pontszám | Besorolás |
|---|
| 0,1–3,9 | alacsony |
| 4,0–6,9 | közepes |
| 7,0–8,9 | magas |
| 9,0–10,0 | kritikus |
A pontszám a hiba elméleti súlyát mutatja, nem azt, hogy egy adott szerveren mekkora a kockázat. Egy jelszóval védett adminfelület mögötti kritikus hiba kisebb veszély lehet, mint egy nyilvános oldalon lévő közepes. A 2023-ban kiadott 4.0-s változat finomabban kezeli a kihasználhatóság feltételeit, a PHP2Shell hibái ezen a skálán 9,2 pontot kaptak.