O Common Vulnerability Scoring System ( CVSS ) é uma estrutura aberta para classificar a gravidade das vulnerabilidades de segurança em sistemas informáticos. As pontuações são calculadas com base numa fórmula com várias métricas que estimam a facilidade e o impacto de uma exploração. Atribui pontuações que variam de 0 a 10, sendo 10 a mais grave. Embora muitos usem apenas a pontuação base do CVSS para determinar a gravidade, também existem pontuações temporais e ambientais, para levar em consideração, respetivamente, a disponibilidade de mitigações e a extensão da disseminação de sistemas vulneráveis dentro de uma organização.
A versão atual do CVSS (CVSSv4.0) foi lançada em novembro de 2023.
O CVSS não foi concebido para ser usado como um método de priorização do gerenciamento de patches, mas continua a ser usado dessa forma. Uma abordagem mais eficaz é integrar o CVSS com modelos preditivos como o Exploit Prediction Scoring System (EPSS), que ajuda a priorizar os esforços de remediação com base na probabilidade de exploração no mundo real.