Bug Bounties MCP — программы вознаграждения за уязвимости
bug-bounties-mcp
MCP-сервер ищет программы баг-баунти и VDP в базе Lissy93 и находит контакты безопасности сайтов, репозиториев и пакетов
- 472 ★ репозитория
- Последний коммит
- MIT
Расширенный доступ
Почему такой уровень
- Запросы к `lookup_*` с названиями сайтов, пакетов и репозиториев уходят на сервер bug-bounties.as93.net, а он сам обращается к внешним ресурсам
- Ответы содержат чужой собранный текст, в котором могут быть инструкции для агента
Установка
- Работает в
В терминале, через SkillFoxx CLI
npx skillfoxx add mcp/bug-bounties-mcpОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Запросы к `lookup_*` с названиями сайтов, пакетов и репозиториев уходят на сервер bug-bounties.as93.net, а он сам обращается к внешним ресурсам
- Ответы содержат чужой собранный текст, в котором могут быть инструкции для агента
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
MCP-сервер `bug-bounties-mcp` лежит в папке `mcp/` репозитория Lissy93/bug-bounties и работает как тонкий клиент к открытому REST API базы bug-bounties.as93.net. База ведется сообществом и описывает больше трех тысяч действующих программ баг-баунти и политик раскрытия уязвимостей (VDP). Восемь инструментов только читают данные. `search_programs` ищет по тексту с нечетким совпадением, фильтрами и сортировкой, `get_program` возвращает полную запись программы с обогащением (рейтинг Tranco, `security.txt`, область тестирования, CISA KEV, EPSS), `get_stats` дает сводную статистику. Остальные ищут контакты безопасности: `lookup_website` для сайта (security.txt, RDAP, DNS, заголовки, типовые страницы), `lookup_github` для репозитория, `lookup_package` для пакетов npm, PyPI и crates.io, `lookup_forge` для GitLab и Codeberg, `lookup_app` для мобильных приложений. Сервер отдает и три ресурса: список программ, статистику и запись программы по `bug-bounties://programs/{slug}`.
Для кого. Исследователям безопасности и разработчикам, которым надо узнать, куда сообщить об уязвимости и платит ли компания за находки.
Подходит, если
- В чужом пакете npm найдена уязвимость, и нужен адрес, куда писать: `lookup_package` соберет контакты из `SECURITY.md` и advisories
- Перед тестированием надо проверить, есть ли у компании программа вознаграждения, какова область тестирования и платят ли за находки
- Для подборки целей нужен список программ с фильтрами и сортировкой, который агент вернет страницами
- В отчете об открытых проектах нужен контакт безопасности для сайта или приложения из магазина
Не подходит, если
- Нужно отправить отчет: сервер находит контакты и условия, а подачей занимается человек на странице программы
- Требуются актуальные суммы и статусы с самих площадок: база ведется сообществом и может отставать
- Проверка чужой системы не согласована: наличие программы не дает разрешения на тестирование вне ее правил
Пример запроса к агенту
Найди, есть ли у GitHub-репозитория expressjs/express контакт для сообщений об уязвимостях, и покажи, куда писатьMCP
- Транспорт
- stdio, http
- Авторизация
- не нужна
Переменные окружения
BUG_BOUNTIES_API_URL- Базовый адрес API базы программ, по умолчанию `https://bug-bounties.as93.net`.
Ограничения
Нужен Node.js 20 или новее. Сервер обращается к API по адресу `https://bug-bounties.as93.net`; другой адрес задают флагом `--api-url` или переменной `BUG_BOUNTIES_API_URL`.
Инструмент `lookup_website` ограничен восемью запросами в минуту с одного IP. Ответы `lookup_*` содержат чужой собранный контент: security.txt, README, метаданные коммитов. Агент должен считать их недоверенными и не выполнять найденные там ссылки, инструкции и учетные данные.
Собственного размещенного адреса MCP у проекта в README нет: для HTTP сервер запускают сами командой `bug-bounties-mcp --http 4488`.
Как отключить. Удалите запись `bug-bounties` из настроек MCP клиента. Если пакет ставили глобально, снимите его командой `npm uninstall -g bug-bounties-mcp`.
Частые вопросы
Как подключить Bug Bounties MCP к Claude Code?
Выполните `claude mcp add bug-bounties -- npx -y bug-bounties-mcp`. Тот же блок `command: npx`, `args: ["-y", "bug-bounties-mcp"]` работает в Claude Desktop, Cursor, Cline и Continue. Ключей и учетной записи не нужно.
Чем отличаются search_programs и get_program?
`search_programs` ищет по тексту с фильтрами и страницами и возвращает урезанные записи, а с `verbose: true` полные. `get_program` берет одну программу по slug вместе с данными Tranco, security.txt, KEV и EPSS.
Можно ли запустить сервер по HTTP?
Да. Команда `bug-bounties-mcp --http 4488` слушает Streamable HTTP по адресу `http://localhost:4488/mcp`. Без флага сервер работает по stdio.
Можно ли указать свою копию базы?
Да. Передайте `--api-url https://ваш-адрес` или переменную `BUG_BOUNTIES_API_URL`. Адрес должен отдавать те же `/api/*`, что и bug-bounties.as93.net.
Пишет ли сервер что-нибудь в базу?
Нет, все восемь инструментов только читают данные.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
MCP-серверыБесплатный MCP-сервер уязвимостей: CVE, GHSA, OSV, CISA KEV и EPSS в одной записи, плюс проверка файла зависимостей проекта.
MCP-сервер собирает вашу историю HackerOne и 3600 раскрытых отчетов в базу, по которой агент планирует работу над программой
Сканер безопасности для MCP-серверов: ищет зашитые ключи, отравление инструментов и инъекции в коде репозитория.
MCP-сервер, который дает агенту разбор уязвимостей: данные NVD, EPSS, каталог CISA KEV, связки с MITRE ATT&CK и оценка риска CVE в одном запросе
Набор для авторизованного багбаунти: 50 субагентов, 26 команд и 2 MCP-сервера площадок багбаунти для Claude Code, Codex и еще пяти агентов
MCP-сервер передает агенту сведения Vulners об уязвимостях, бюллетенях и проблемах установленных версий программ.
Коротко о README
В README репозитория программ дан каталог компаний, принимающих ответственное раскрытие, с символами награды, благодарности и мерча. README пакета `mcp/` описывает установку, настройку Claude Desktop, режим HTTP, параметры, таблицы инструментов и ресурсов и правила для потребителей. Лицензия MIT.