Outil gratuit
Calculateur CVSS 3.1
Choisissez les huit métriques de base d’une vulnérabilité, ou collez un vecteur, pour obtenir son score de base CVSS 3.1 et sa gravité.
Tout tourne dans votre navigateur : rien de ce que vous saisissez ou ouvrez ne nous est envoyé ni n’est enregistré.
Score de base
9.8
Critique- Impact
- Exploitabilité
Vecteur
Le CVSS et le Cyber Resilience Act
Le score CVSS mesure la gravité d’une vulnérabilité en elle-même, pas son exploitation. L’horloge de signalement du CRA (24 heures, 72 heures, 14 jours) démarre quand vous apprenez qu’une vulnérabilité de votre produit est activement exploitée, quel que soit son score : un score moyen exploité doit être signalé, un score critique qui ne l’est pas, non.
Pour décider quoi corriger d’abord, combinez trois signaux : le score CVSS (gravité), le score EPSS (probabilité d’exploitation dans les 30 jours) et les catalogues de vulnérabilités exploitées, CISA KEV et la base européenne des vulnérabilités (exploitée maintenant). Provetry montre les trois ensemble pour chaque composant de vos produits.
Le CVSS 4.0 est la version la plus récente de la norme ; les scores des deux versions ne se comparent pas directement.
Les autres outils gratuits
- Générateur et vérificateur de security.txt
Rédigez le fichier RFC 9116 qui dit aux chercheurs où signaler une vulnérabilité, ou vérifiez celui que vous avez.
- Calculateur CVSS 4.0
La version la plus récente du CVSS, notée avec le calcul de référence de FIRST : métriques de base, ou tout vecteur collé.
- Score EPSS d’une faille
La probabilité qu’une vulnérabilité soit exploitée dans les 30 jours : le score du jour de FIRST, pour 30 CVE à la fois.
- Générateur de politique de divulgation
Une politique de divulgation coordonnée des vulnérabilités pour vos produits, prête à publier, en français, en anglais ou en allemand.
- Générateur de SBOM
Transformez vos fichiers de verrouillage en SBOM CycloneDX ou SPDX : npm, pnpm, Yarn, Python, Go, Rust, Java, .NET, PHP et Ruby.
- Visionneuse et vérificateur de SBOM
Ouvrez un fichier CycloneDX ou SPDX : ses composants, et ce qu’attend le CRA qui manque.