En CVSS v3, el "alcance" indica si una vulnerabilidad en una aplicación afecta a los recursos más allá de sus posibilidades. Puede tener los valores "cambiados" o "sin cambios".
No entiendo completamente cuando se cambia el alcance. Por ejemplo, en los ejemplos de CVSS , un XSS ha cambiado el alcance porque una vulnerabilidad en la aplicación afecta el navegador del usuario. Pero con XSS, solo puede ejecutar Javascript dentro del contexto de la aplicación, algo que la aplicación podría hacer en primer lugar. No me parece que esto afecte a los recursos más allá de sus medios.
Y la vulnerabilidad CSRF de ejemplo tiene un alcance sin cambios, aunque al igual que el XSS, activa el comportamiento en el navegador.
¿Qué significa cuando el alcance se cambia o no se modifica?
De la documentación se desprende que el alcance se modifica cuando la vulnerabilidad atraviesa las autoridades de autorización. ¿Qué es una "autoridad de autorización"?