アドバイザリに載っている CVSS:3.1/AV:N/AC:L/… の文字列を貼り付けると、各項目の意味を日本語で表示し、基本値（Base Score）を計算します。入力はブラウザの中だけで処理し、どこにも送信しません。登録も不要です。
初期値は当サイト掲載の実データです（CVE-2026-72898）。書き換えるとその場で再計算されます。
たとえば CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H を貼ると、基本値は 9.8（緊急） と出ます。内訳は「ネットワーク越しに、条件も権限も利用者の操作も要らずに成立し、機密性・完全性・可用性のすべてが完全に損なわれる」で、これが最悪の組み合わせにあたります。A:H を A:N（可用性への影響なし）に変えると 9.1 に下がります。1項目でスコアがどれだけ動くかを、手を動かして確かめられます。
基本評価基準（AV / AC / PR / UI / S / C / I / A）は必須です。現状評価基準（E / RL / RC）は任意で、指定すると現状値も計算します。
| 攻撃元区分 (AV) | ||
|---|---|---|
| AV:N | ネットワーク | インターネット越しに到達できれば攻撃が成立する。もっとも危険な条件。 |
| AV:A | 隣接ネットワーク | 同一のLANやBluetoothなど、隣接した位置からでないと攻撃できない。 |
| AV:L | ローカル | その機器へのログインや、ローカルでの操作が必要。 |
| AV:P | 物理 | 機器に物理的に触れる必要がある。 |
| 攻撃複雑度 (AC) | ||
| AC:L | 低 | 攻撃者側の準備や条件が要らず、いつでも再現できる。 |
| AC:H | 高 | 競合状態を突くなど、攻撃者に制御できない条件が要る。 |
| 必要な特権レベル (PR) | ||
| PR:N | 不要 | ログインしていない攻撃者でも成立する。 |
| PR:L | 低 | 一般ユーザー程度の権限が要る。 |
| PR:H | 高 | 管理者相当の権限が要る。 |
| 利用者の関与 (UI) | ||
| UI:N | 不要 | 利用者が何もしなくても成立する。 |
| UI:R | 要 | 利用者がリンクを開くなどの操作をして初めて成立する。 |
| スコープ (S) | ||
| S:U | 変更なし | 影響はその脆弱なコンポーネントの中に留まる。 |
| S:C | 変更あり | 影響が別のコンポーネントへ及ぶ。同じ条件でもスコアが上がる。 |
| 機密性への影響 (C) | ||
| C:H | 高 | 重要な情報がすべて読み取られうる。 |
| C:L | 低 | 一部の情報が読み取られるが、範囲は限定される。 |
| C:N | なし | 情報の漏えいは生じない。 |
| 完全性への影響 (I) | ||
| I:H | 高 | 任意のデータを書き換えられる。 |
| I:L | 低 | 書き換えられるが、範囲や内容が限定される。 |
| I:N | なし | 改ざんは生じない。 |
| 可用性への影響 (A) | ||
| A:H | 高 | サービスを完全に停止させられる。 |
| A:L | 低 | 性能低下や断続的な停止に留まる。 |
| A:N | なし | 可用性は損なわれない。 |
| 攻撃コード成熟度 (E) | ||
| E:X | 未評価 | 評価していない。基本値をそのまま使う。 |
| E:H | 高 | 自動化された攻撃コードが出回っている。 |
| E:F | 実証あり | 動作する攻撃コードが存在する。 |
| E:P | 実証コードあり | 概念実証(PoC)の段階。 |
| E:U | 未実証 | 攻撃コードは確認されていない。 |
| 修正レベル (RL) | ||
| RL:X | 未評価 | 評価していない。 |
| RL:U | なし | 利用できる対策が無い。 |
| RL:W | 非公式の回避策 | 公式でない回避策のみ。 |
| RL:T | 暫定的な修正 | 一時的な修正が提供されている。 |
| RL:O | 公式の修正 | ベンダー公式のパッチがある。 |
| 情報の信頼性 (RC) | ||
| RC:X | 未評価 | 評価していない。 |
| RC:C | 確認済み | ベンダーまたは信頼できる情報源が確認している。 |
| RC:R | 妥当 | 報告はあるが公式確認には至っていない。 |
| RC:U | 未確認 | 断片的な情報のみ。 |
0.1〜3.9 が低、4.0〜6.9 が中、7.0〜8.9 が高、9.0〜10.0 が緊急です。当サイトの掲載基準は原則 7.0 以上ですが、深刻度別の一覧のとおり、CISA KEV に収載されたものは基準未満でも掲載しています。実際に悪用されている事実は、点数より優先すべき情報だからです。
計算式は FIRST が公開している CVSS v3.1 仕様書に従っています。v3.0 と v3.1 は重みが同じで丸め方だけが異なるため、同じベクタでも 0.1 だけ結果が変わることがあります。先頭の CVSS:3.0 / CVSS:3.1 を見て切り替えています。