cve.now MCP
Бесплатный MCP-сервер уязвимостей: CVE, GHSA, OSV, CISA KEV и EPSS в одной записи, плюс проверка файла зависимостей проекта.
- 127 ★ репозитория
- Последний коммит
Расширенный доступ
Почему такой уровень
- Агент отправляет внешнему сервису запросы, списки пакетов и содержимое файлов зависимостей проекта.
Установка
- Работает в
В терминале, через SkillFoxx CLI
npx skillfoxx add mcp/cve-nowОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Агент отправляет внешнему сервису запросы, списки пакетов и содержимое файлов зависимостей проекта.
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
cve.now объединяет CVE List, GitHub Advisory Database, OSV, NVD, европейскую базу EUVD, каталог CISA KEV, оценки EPSS и Exploit-DB в одну запись на каждую уязвимость. Данные открыты как RSS, Atom, JSON Feed и JSON API без регистрации и ключа. Удаленный MCP-сервер по адресу `https://mcp.cve.now/mcp` дает агенту четыре инструмента. `search` ищет по запросу и фильтрам (серьезность, KEV, технология, пакет) и объясняет, почему найден результат. `get_vulnerability` показывает запись по идентификатору CVE, GHSA или OSV. `list_feed` отдает ленту с теми же фильтрами. `check_stack` сверяет содержимое файла зависимостей с базой и называет затронутые версии.
Для кого. Разработчикам и инженерам безопасности, которые просят агента проверять зависимости на известные уязвимости перед обновлением.
Подходит, если
- Перед добавлением или обновлением зависимости агент вызывает `check_stack` для файла зависимостей.
- По идентификатору CVE нужно узнать, есть ли уязвимость в CISA KEV и какие версии исправлены.
- Команда подписывается на ленту критичных уязвимостей для Next.js и npm.
- В `AGENTS.md` или `CLAUDE.md` добавляют правило проверять зависимости через этот сервер.
Не подходит, если
- Данные о нераскрытой уязвимости: сервис публичный, а Issues открыты для всех.
- Содержимое файла зависимостей нельзя передавать внешнему сервису.
- Нужен аудит кода: сервис знает об известных записях, но не сканирует исходники.
Пример запроса к агенту
Проверь файл зависимостей через cve.now и назови уязвимости, которые затрагивают установленные версии, начиная с тех, что есть в CISA KEV.MCP
- Транспорт
- http
- Авторизация
- не нужна
Ограничения
Исходный код сервиса закрыт: репозиторий хранит только документацию и обсуждения, а запросы на слияние не принимаются. Пустой ответ означает, что cve.now ничего не нашел, и не доказывает безопасность пакетов. Краткие описания записей пишет модель и помечает это, они выходят под CC-BY 4.0. Список технологий для фильтра ограничен, недостающие просят через Issues. Списки пакетов и файлы зависимостей уходят на сервер сервиса, поэтому закрытые проекты проверяйте с учетом этого. Сервис разрабатывает и запускает компания Sazabi.
Как отключить. Удалите подключение командой `claude mcp remove cve-now` или уберите запись из конфигурации клиента, затем выбросьте правило из `AGENTS.md`.
Частые вопросы
Как подключить cve.now к Claude Code?
Выполните `claude mcp add --transport http cve-now https://mcp.cve.now/mcp`. Ключ не нужен. Затем попросите агента вызвать `check_stack` для файла зависимостей.
Как подключить сервер в Codex, Cursor или OpenCode?
Для Codex выполните `codex mcp add cve-now --url https://mcp.cve.now/mcp`. Для Cursor добавьте адрес в `.cursor/mcp.json`, для OpenCode в `opencode.json` с типом `remote`.
Какие файлы зависимостей понимает проверка?
Среди них `package-lock.json`, `pnpm-lock.yaml`, `yarn.lock`, `requirements.txt`, `poetry.lock`, `uv.lock`, `Cargo.lock`, `go.sum` и `composer.lock`. Полный перечень приведен в README.
Нужен ли аккаунт или ключ?
Нет. Ленты, API и MCP-сервер открыты без регистрации и ключа.
Можно ли подписаться на ленту уязвимостей?
Да. Адрес `https://cve.now/feed` принимает фильтры `filter`, `tech` и `ecosystem`, а формат меняет параметр `format` (RSS, Atom или JSON). В Slack ленту подключает `/feed subscribe`.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
MCP-серверыMCP-сервер, который дает агенту разбор уязвимостей: данные NVD, EPSS, каталог CISA KEV, связки с MITRE ATT&CK и оценка риска CVE в одном запросе
cvENGINE находит внешние активы домена и уязвимости, которые уже эксплуатируют, а MCP-сервер ведет сканы из Claude Code
MCP-сервер передает агенту сведения Vulners об уязвимостях, бюллетенях и проблемах установленных версий программ.
Сканер безопасности для MCP-серверов: ищет зашитые ключи, отравление инструментов и инъекции в коде репозитория.
Bug Bounties MCP — программы вознаграждения за уязвимости
bug-bounties-mcp
MCP-сервер ищет программы баг-баунти и VDP в базе Lissy93 и находит контакты безопасности сайтов, репозиториев и пакетов
Официальный MCP-сервер Socket оценивает безопасность зависимостей npm, PyPI, cargo и других экосистем прямо из диалога с агентом.
Сравнение с похожими
Карточки с тем же главным запросом: чем они отличаются.
| Инструмент | Официальный | Авторизация | Звезды репозитория | Главное отличие |
|---|---|---|---|---|
| cve.now (эта карточка) | да | не нужна | 127 | |
| CVE MCP Server | нет | не нужна | 1 745 | локальный MCP-сервер разбирает уязвимости по NVD, EPSS и KEV; cve.now удаленный, без ключа, с лентами и проверкой lock-файла |
| Vulners MCP | да | API-ключ | 377 | сведения Vulners для агента; cve.now сводит восемь открытых источников и не требует ключа |
Коротко о README
Репозиторий служит домашней страницей сервиса на GitHub: что это, как подключиться и куда сообщать об ошибках. Источники данных и лицензии перечислены в конце.