Смотрят эксплуатируемость, reachability, ценность данных, компенсирующие контроли, нужны ли цепочки. Banner grabbing без дальнейшей пути — часто info. Раскрытый admin panel с default creds — риск. Честность повышает доверие к отчёту.
Разбор
- Пишите assumption и limits.
- Environmental CVSS помогает.
- Спросите владельца актива о impact.
- Не завышайте severity ради эффекта.
Итог
Риск = путь к ущербу; иначе severity честно понижают.