¿Qué métrica se utiliza para clasificar los errores de software más peligrosos que se conocen?

De ese sitio:
El valor de la métrica es un número entre 0 y 180 que asigna una gravedad aproximada a la vulnerabilidad. Este número considera varios factores, incluidos
¿La información sobre la vulnerabilidad está ampliamente disponible o se conoce?
¿Se está explotando la vulnerabilidad?
¿La infraestructura de Internet está en riesgo debido a esta vulnerabilidad?
¿Cuántos sistemas en Internet están en riesgo por esta vulnerabilidad?
¿Cuál es el impacto de explotar la vulnerabilidad?
¿Qué tan fácil es explotar la vulnerabilidad?
¿Cuáles son las condiciones previas necesarias para explotar la vulnerabilidad?
Debido a que las preguntas se responden con valores aproximados que pueden diferir significativamente de un sitio a otro, los usuarios no deben confiar demasiado en la métrica para priorizar las vulnerabilidades. Sin embargo, puede ser útil para separar las vulnerabilidades muy graves de la gran cantidad de vulnerabilidades menos graves descritas en la base de datos. Por lo general, las vulnerabilidades con una métrica superior a 40 son candidatos para alertas técnicas de US-CERT. No todas las preguntas están ponderadas por igual, y la puntuación resultante no es lineal (una vulnerabilidad con una métrica de 40 no es dos veces más grave que una con una métrica de 20).