Krijgt dezelfde kwetsbaarheid op elk systeem dezelfde CVSS-score?

De technische basisscore kan gelijk zijn, maar de lokale CVSS-BTE-score hoeft dat niet te zijn. Een geïsoleerde testomgeving, een intern werkstation, een publieke identiteitsdienst en een veiligheidskritisch apparaat kunnen verschillen in bereikbaarheid, maatregelen, vereiste bescherming en gevolgen voor andere systemen of mensen.

CVSS 4.0 kan zulke verschillen vastleggen met Threat en Environmental Metrics. Menselijke veiligheid kan binnen de Environmental Metrics ook rechtstreeks in de score meewegen. Aanvullende context kan daarnaast de lokale rangorde beïnvloeden zonder het getal te veranderen. Een intern systeem krijgt niet automatisch een lagere score: iedere aanpassing moet volgen uit aantoonbare eigenschappen van de werkelijke omgeving. Zie de metriekgroepen en beoordelingsregels van FIRST.