O CVSS 4.0 está cientificamente comprovado?

O CVSS é um método especializado transparente e não uma lei da natureza ou um modelo de risco atuarial.

Não no sentido de um modelo empírico que prevê a probabilidade de abuso ou o dano esperado. CVSS é uma convenção de medição padronizada baseada em definições técnicas e opiniões de especialistas. Para a versão 4.0, milhões de vetores possíveis foram agrupados e classificados por especialistas; FIRST publica este método no manual do usuário.

Existem testes, mas são limitados. NIST examinou a fórmula CVSS 3 contra comentários dos designers. Isso apoia o funcionamento interno dessa fórmula, não a previsão de incidentes ou danos e não automaticamente a versão 4.0. A pesquisa também encontra diferenças entre avaliadores humanos. O CVSS é, portanto, útil como um método de medição transparente e partilhado, e não como uma certeza científica.