mcpField
C
cve-research

cve-research

github.com/fusengineセキュリティ34354 回インストール2 週間前に更新
リポジトリ

cve-research について

cve-researchは、単一の依存関係を調べる開発者向けの脆弱性調査スキルです。複数の情報源を照合し、CVSSと悪用可能性で優先度を付け、修正バージョンや回避策を報告します。

主な機能

  1. 01OSV.dev、NVD、GitHub Advisoryの照会
  2. 02Exaによる新しいアドバイザリの検索
  3. 03脆弱性情報の相互照合
  4. 04深刻度と悪用可能性による優先順位付け
  5. 05修正バージョンと回避策の報告

活用シーン

  1. 01依存関係に既知のCVEがあるか確認
  2. 02マージ前に脆弱性の深刻度を評価
  3. 03未登録の新しいアドバイザリを検索

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/fusengine/agents --skill cve-research

インストール後、Claude Code で/cve-researchを入力して読み込まれたか確認します。

同梱ファイルreferences/cve-apis.mdreferences/templates/cve-query.md

詳細

このスキルは、特定の依存関係について既知の脆弱性を複数のソースで調査します。対象は、OSV.dev（npm、PyPI、Go、crates、Maven）、NVD（CVSS スコアリング）、GitHub Advisory Database（メンテナーの対応）、およびまだインデックスされていないアドバイザリを対象とした Exa のウェブ検索です。

まず OSV.dev に速度と精度のために問い合わせ、CVSS スコアリングのために NVD をクロスチェックし、最近のアドバイザリには Exa を使用し、メンテナーの対応については GitHub Advisory を確認したうえで、調査結果を相互参照し、CVSS スコアと悪用可能性によって優先順位を付けます — CRITICAL（9.0〜10.0）は直ちに修正、HIGH（7.0〜8.9）はマージ前に修正、MEDIUM（4.0〜6.9）は修正を計画、LOW（0.1〜3.9）は文書化 — そして修正バージョンと回避策を報告します。

対象外: これは単一の依存関係の調査であり、プロジェクト全体の依存関係の一括調査ではありません（それには dependency-audit を使用してください）。

CVE 調査スキル

概要

複数のソースを使用して、プロジェクトの依存関係にある既知の脆弱性を調査します。

データソース

ソースAPI対象範囲
NVDnvd.nist.gov/vuln/apiすべての CVE
OSV.devapi.osv.devnpm、PyPI、Go、crates、Maven
GitHub Advisorygithub.com/advisoriesnpm、pip、composer、cargo
Exa SearchMCP 経由リアルタイムのウェブ検索

ワークフロー

  1. プロジェクトから依存関係を 抽出 する（package.json など）
  2. 各ソースに既知の CVE を 問い合わせ る
  3. ソース間で調査結果を 相互参照 する
  4. CVSS スコアと悪用可能性によって 優先順位を付ける
  5. 修正バージョンと回避策を添えて 報告 する

クエリ戦略

各依存関係について:

  1. まず OSV.dev を検索する（パッケージに対して最速かつ最も正確）
  2. CVSS スコアリングのために NVD をクロスチェックする
  3. まだデータベースにない最近のアドバイザリには Exa を使用する
  4. メンテナーの対応について GitHub Advisory を確認する

深刻度のマッピング

CVSS スコア深刻度対応
9.0 - 10.0CRITICAL直ちに修正
7.0 - 8.9HIGHマージ前に修正
4.0 - 6.9MEDIUM修正を計画
0.1 - 3.9LOW文書化

参考資料

コメント

Markdown 対応