Score CVSS : comprendre la notation des vulnérabilités
Le CVSS (Common Vulnerability Scoring System) est le standard international de notation des vulnérabilités informatiques. Utilisé par les pentesters, les éditeurs et les équipes sécurité, il attribue un score de 0 à 10 à chaque faille découverte pour objectiver sa sévérité et prioriser les corrections.
Pentest web & API, audit IA, Toulouse, méthodologie OWASP/PTES
Comment fonctionne le score CVSS ?
Échelle de sévérité CVSS
- Critique (9.0–10.0) : exploitation triviale, impact maximal — correction immédiate.
- Haute (7.0–8.9) : exploitation probable, impact significatif.
- Moyenne (4.0–6.9) : exploitation conditionnée, impact modéré.
- Basse (0.1–3.9) : exploitation difficile ou impact limité.
CVSS dans un rapport de pentest
Limites du CVSS
Exemple concret : IDOR sur une API REST
Une API REST expose GET /api/invoices/:id sans contrôle que l'ID appartient à l'utilisateur authentifié. Un client peut lire les factures des autres tenants.
Vecteur CVSS v3.1 : AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N → score 6.5 (Moyen).
Mais si ces factures contiennent des données de santé ou des coordonnées bancaires, l'analyse d'impact contextuelle du rapport Laucked requalifie le risque en Critique pour la direction, indépendamment du score brut.
CVSS v3.1 vs CVSS v4.0
La version 4.0 du CVSS (novembre 2023) introduit plusieurs améliorations majeures :
- Nouvelles métriques Supplemental : Safety, Automatable, Recovery — utile pour l'IoT/OT et le secteur santé
- Environmental metrics enrichies : meilleure prise en compte du contexte métier
- Threat metrics intégrées : probabilité d'exploitation (exploit code maturity, remediation level)
- Vecteurs attackés → Attack Requirements : plus fin que l'ancien Attack Complexity
En 2026, les rapports Laucked utilisent v3.1 par défaut pour compatibilité client (la plupart des outils SAST/DAST, SIEM et plateformes d'assurance cyber lisent encore v3.1), avec le score v4.0 fourni en complément sur demande.
FAQ CVSS
Un score CVSS Critique (9+) doit-il toujours être corrigé en priorité ?
Oui, sauf si la faille est non-atteignable dans votre contexte (réseau interne isolé, feature flag désactivé). Le pentest confirme l'atteignabilité avant de trancher.
Les assureurs cyber exigent-ils un score CVSS dans le rapport ?
Pas formellement, mais ils exigent une priorisation objective. CVSS est le standard de fait pour toutes les polices récentes (Axa, Hiscox, Beazley, Stoïk).
Peut-on contester un score CVSS attribué par un pentester ?
Oui. Le vecteur CVSS est transparent et reproductible. Si le contexte métier inverse le scoring, c'est documenté dans la section Impact du rapport.
CVSS s'applique-t-il aux failles de logique métier ?
Imparfaitement. Le CVSS est conçu pour des vulnérabilités techniques. Pour une faille de logique (race condition métier, workflow contourné), le score doit être ajusté avec le contexte — ce que Laucked fait systématiquement.
Articles liés
Besoin d'un pentest ?
Chez Laucked, nous testons vos applications web, API et intégrations sensibles avec une méthodologie OWASP/PTES. Diagnostic de surface gratuit, rapport sous 48-72h.
Demander un diagnostic gratuit