先分清楚三組指標
CVSS 衡量漏洞嚴重程度；修補優先序還需要納入威脅、暴露面與資產情境。
BASE · 8 項
漏洞本身
描述攻擊條件與新增影響，以合理最嚴重情況為基礎。
TEMPORAL · 3 項
當下的狀況
利用程式成熟了嗎？有修補方式嗎？資訊可信嗎？
ENVIRONMENTAL · 11 項
你的部署環境
依實際控制措施調整指標，並反映 C／I／A 的重要性。
0.0 無0.1–3.9 低4.0–6.9 中7.0–8.9 高9.0–10.0 嚴重
01 / BASE METRICS
基本指標
按下選項，即可查看右側分數變化。以下情境為教學假設，並非所有同類漏洞都適用。
02 / 時間指標 Temporal
X 代表未定義，計算係數為 1。描述目前資訊狀態，不代表這台設備已完成更新。
03 / 環境指標 Environmental
CR／IR／AR 表示組織重視程度；其餘 8 項用實際環境覆寫基本值。修正指標選 X 時沿用基本指標，需求指標選 X 時等同 M。即使全部為 X，環境分數也可能因其專用公式而與基本分數略有差異。
READ THE CONTEXT
評分時，最容易混淆的事
內網服務，就一定是 AV:A 嗎？
先判斷漏洞的利用條件。可經路由網路觸發的漏洞，基本指標仍可能為 N；A 指漏洞利用本身受相鄰或受限制的網路條件約束。部署上的防火牆限制，應另依環境評分指引判斷。
攻擊成功變管理員，PR 就是 H 嗎？
PR 看利用前所需的權限。例如一般學生帳號即可利用，通常考慮 PR:L；成功後取得的能力則反映在影響指標。
跨帳號、跨主機，就是 S:C 嗎？
Scope 要辨認漏洞元件與受影響元件的安全權限管理邊界。跨使用者不必然跨邊界；服務原本授權可操作的資料庫受損，也不能單憑「資料庫在另一台」就選 C。
有 PoC，就表示 AC:L 嗎？
AC 評估攻擊者控制之外的成功條件，並非工具是否容易取得或操作者技巧高低。利用程式狀態由 E 描述，其他使用者是否需要操作由 UI 描述。
管理員本來就能讀資料，還要把 C 設為 H？
應比較漏洞利用前後增加的負面影響。若原有權限已允許相同讀取，不能把原有能力當成新增外洩；但仍要檢視是否能取得原本無權接觸的資料。
要如何寫成可審查的發現？
記錄「前置身分 → 利用條件 → 跨越邊界 → 實證新增影響」，並列出無法驗證的部分。不要只因漏洞名稱是 SQLi、XSS 或 RCE 就固定給同一組評分。
計算方式與版本提醒
基本分數結合影響分數與可利用性分數；C／I／A 全為 N 時，基本分數為 0。時間分數將基本分數乘上 E、RL、RC。環境分數以修正指標與需求權重重新計算，再納入時間係數。
Roundup 是向上取到小數一位，並非四捨五入。本頁使用 CVSS 3.1 的環境公式（Changed 使用 13 次方與 0.9731），不混用 3.0 或 4.0。CVSS 不涵蓋所有組織風險因素。
Roundup 是向上取到小數一位，並非四捨五入。本頁使用 CVSS 3.1 的環境公式（Changed 使用 13 次方與 0.9731），不混用 3.0 或 4.0。CVSS 不涵蓋所有組織風險因素。