Чи передбачає висока оцінка CVSS, що вразливість буде використана?

Ні. Високий бал CVSS означає, що технічні наслідки та умови є серйозними відповідно до вибраного вектора. Немає відкаліброваної ймовірності того, що вразливість буде використана протягом певного періоду часу. Дослідження показують, що визначення пріоритетів виключно за пороговими значеннями CVSS може бути неефективним (Якобс та ін., 2020).

CVSS 4.0 може включати поточну зрілість експлойту в показники загрози. Наприклад, EPSS можна використовувати для оцінки ймовірності; підтверджені атаки та конфіденційна інформація про загрози також актуальні. Ці джерела також не замінюють місцеву оцінку ризику.