Баллы могут варьироваться от 0,0 до 10,0, причем 10,0 - критическое значение. Базовые баллы включают оценку показателей уязвимости (атака вектор, сложность, привилегии и взаимодействие с пользователем), показатели воздействия (конфиденциальность, целостность и доступность) и объем, например, https://www.first.org/cvss/specification-document.