Is CVSS 4.0 wetenschappelijk bewezen?

Niet in de betekenis van een empirisch model dat de kans op misbruik of de verwachte schade voorspelt. CVSS is een gestandaardiseerde meetconventie op basis van technische definities en deskundigenoordelen. Voor versie 4.0 zijn miljoenen mogelijke vectoren gegroepeerd en door deskundigen onderling gerangschikt; FIRST publiceert deze methode in de gebruikershandleiding.

Er is wel toetsing, maar die is begrensd. NIST onderzocht de formule van CVSS 3 tegen beoordelingen van de ontwerpers. Dat ondersteunt de interne werking van die formule, niet de voorspelling van incidenten of schade en niet automatisch versie 4.0. Een gebruikersonderzoek naar CVSS 3.1 vond bovendien verschillen tussen menselijke beoordelaars. CVSS is daarom bruikbaar als transparante, gedeelde meetmethode, niet als wetenschappelijke zekerheid.