Oxiploitability

oxiploitability-mcp

Oxiploitability は、出典に基づく CVE 調査のための Rust 製 MCP サーバーです。NVD の脆弱性レコード、FIRST の EPSS 確率、CISA KEV エントリー、OSV のパッケージアドバイザリー、CVE.org のレコード、公開 PoC インデックスを組み合わせます。また、対応する SBOM、ロックファイル、プロジェクトディレクトリ、コンテナイメージもチェックできます。

この製品は NVD API を使用していますが、NVD の推奨や認定を受けたものではありません。EPSS は FIRST、KEV は CISA、パッケージアドバイザリーは OSV.dev、CVE レコードは CVE.org、公開 PoC リンクは nomi-sec/PoC-in-GitHub インデックスが公開しています。

mcp-name: io.github.abelreqma/oxiploitability-mcp

ツール

ツール	入力	結果
enrich_cve	1 件の CVE、または最大 100 件の CVE	NVD、EPSS、KEV、CVE.org、PoC のデータを統合します。各ソースのエラーは個別に保持されます。
nvd_cve	1 件の CVE	NVD の説明、スコア、弱点、影響を受ける製品、参照情報。
epss_scores	最大 100 件の CVE	EPSS の確率とパーセンタイル。
kev_lookup	最大 100 件の CVE	CISA KEV エントリーと未掲載の ID。
product_cves	製品名、CPE、パッケージ URL、またはパッケージ名	ランク付けされた CVE、バージョンの根拠、推奨アクション。
scan_sbom	SBOM、ロックファイル、ディレクトリ、またはイメージ	コンポーネントの検出結果、未チェック項目、アクション、新しいローカル JSON レポート。
poc_search	1 件の CVE	PoC インデックスからの公開リポジトリへのリンク。精査されていない手掛かりです。

検出結果には、その情報源とレコードへのリンクが記載されます。nvd-cpe、cve.org-cna、osv:* は製品またはパッケージの根拠を示します。nvd-description は confirmed: false の手掛かりです。スコア、KEV エントリー、PoC がないことは、脆弱性が安全である、または悪用されていない証拠にはなりません。回答を信頼する前に、partial、warnings、needs_verification、not_checked を確認してください。

検索ツールはローカルファイルに書き込みません。scan_sbom は既存のレポートを置き換えずに新しいレポートを作成します。イメージのスキャンでは、Trivy または Syft がインストールされている場合、イメージを取得することがあります。送信データとローカルファイルについては、PRIVACY.md を参照してください。

チェックアウトからインストールする

このリポジトリから、次のコマンドでネイティブ実行ファイルをインストールします。

cargo install --path . --locked

実行ファイルは通常 ~/.cargo/bin/oxiploitability にあります。Rust はオペレーティングシステムと CPU アーキテクチャごとにネイティブ実行ファイルをビルドするため、デスクトップクライアントの設定では、対応するビルドとその絶対パスを使用してください。デスクトップアプリはシェルの PATH を引き継がない場合があります。

NVD API キーは任意です。キーをお持ちの場合は、CLI クライアントのプライベート環境に NVD_API を設定してください。キーをこのリポジトリにコミットしないでください。キーがない場合、サーバーは NVD のより低いリクエスト制限を使用します。

クライアントの設定

macOS の Claude Desktop

他のサーバー設定を保持したまま、~/Library/Application Support/Claude/claude_desktop_config.json の mcpServers に次のエントリーを追加し、都合のよいタイミングで Claude Desktop を再起動してください。

{
  "mcpServers": {
    "oxiploitability": {
      "command": "/absolute/path/to/oxiploitability",
      "args": []
    }
  }
}

パッケージ版 MCPB 拡張機能のオプションの NVD キーフィールドには、一部のバイナリーサーバーで既知の Claude Desktop 配信上の問題があります。キーなしでも設定できます。リリースバンドルは、Settings > Extensions > Advanced settings > Install Extension から、プラットフォーム固有の .mcpb ファイルとしてインストールすることもできます。

Claude Code

claude mcp add --transport stdio --scope user oxiploitability -- /absolute/path/to/oxiploitability

Codex CLI

codex mcp add oxiploitability -- /absolute/path/to/oxiploitability

サーバーを追加した後、新しい Codex チャットを開始してください。代わりに ~/.codex/config.toml を編集する場合は、[mcp_servers.oxiploitability] と command = "/absolute/path/to/oxiploitability" を使用してください。

Hermes Agent

~/.hermes/config.yaml の mcp_servers の下に、このエントリーを統合してください。

mcp_servers:
  oxiploitability:
    command: /absolute/path/to/oxiploitability

検出を確認するには、hermes mcp test oxiploitability を実行してください。既存の Hermes チャットでは、設定を変更した後に /reload-mcp を使用してください。

開発とリリース

cargo fmt --check
cargo clippy --all-targets --locked -- -D warnings
cargo test --locked
python3 -m unittest discover -s mcpb -p 'test_*.py'

テストではローカルの HTTP モックレスポンスを使用します。リリース前に、CI が macOS、Linux、Windows 用のバンドルをビルドします。公開するには、v* タグを作成し、そのタグを指定して gh workflow run release.yml --ref vX.Y.Z を手動で実行します。このワークフローは、crates.io と MCP Registry に公開する前に、ステージング済みのアセットを検証します。クライアントのインストールを確認するまでは実行しないでください。

ライセンス

MIT または Apache-2.0 のいずれかのライセンスの下でライセンスされています。LICENSE-MIT と LICENSE-APACHE を参照してください。