mcpField
C
cve-research

cve-research

github.com/fusengineセキュリティ34355 回インストール2 週間前に更新
リポジトリ

cve-research について

CVE Researchは、単一の依存関係に既知の脆弱性があるか調べるスキルです。依存関係のリスクを評価する開発者向けに、OSV.dev、NVD、GitHub Advisory、Exaの情報を照合し、優先度や修正バージョン、回避策を報告します。

主な機能

  1. 01複数の脆弱性情報源を検索
  2. 02検出結果を相互に照合
  3. 03CVSSと悪用可能性で優先順位付け
  4. 04修正バージョンと回避策を提示
  5. 05対象は一度に単一の依存関係

活用シーン

  1. 01マージ前に依存関係の脆弱性を確認
  2. 02検出したCVEの修正優先度を決定
  3. 03依存関係の修正バージョンや回避策を調査

MCP 対応

リアルタイムのウェブ検索にはExa MCPを使用し、その他の脆弱性情報源は各APIを通じて照会します。

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/fusengine/claude-plugins --skill cve-research

インストール後、Claude Code で/cve-researchを入力して読み込まれたか確認します。

詳細

このスキルは、特定の依存関係について既知の脆弱性を複数のソースで調査します。対象は、OSV.dev（npm、PyPI、Go、crates、Maven）、NVD（CVSS スコアリング）、GitHub Advisory Database（メンテナーの対応）、およびまだインデックスされていないアドバイザリを対象とした Exa のウェブ検索です。

まず OSV.dev に速度と精度のために問い合わせ、CVSS スコアリングのために NVD をクロスチェックし、最近のアドバイザリには Exa を使用し、メンテナーの対応については GitHub Advisory を確認したうえで、調査結果を相互参照し、CVSS スコアと悪用可能性によって優先順位を付けます — CRITICAL（9.0〜10.0）は直ちに修正、HIGH（7.0〜8.9）はマージ前に修正、MEDIUM（4.0〜6.9）は修正を計画、LOW（0.1〜3.9）は文書化 — そして修正バージョンと回避策を報告します。

対象外: これは単一の依存関係の調査であり、プロジェクト全体の依存関係の一括調査ではありません（それには dependency-audit を使用してください）。

CVE 調査スキル

概要

複数のソースを使用して、プロジェクトの依存関係にある既知の脆弱性を調査します。

データソース

ソースAPI対象範囲
NVDnvd.nist.gov/vuln/apiすべての CVE
OSV.devapi.osv.devnpm、PyPI、Go、crates、Maven
GitHub Advisorygithub.com/advisoriesnpm、pip、composer、cargo
Exa SearchMCP 経由リアルタイムのウェブ検索

ワークフロー

  1. プロジェクトから依存関係を 抽出 する（package.json など）
  2. 各ソースに既知の CVE を 問い合わせ る
  3. ソース間で調査結果を 相互参照 する
  4. CVSS スコアと悪用可能性によって 優先順位を付ける
  5. 修正バージョンと回避策を添えて 報告 する

クエリ戦略

各依存関係について:

  1. まず OSV.dev を検索する（パッケージに対して最速かつ最も正確）
  2. CVSS スコアリングのために NVD をクロスチェックする
  3. まだデータベースにない最近のアドバイザリには Exa を使用する
  4. メンテナーの対応について GitHub Advisory を確認する

深刻度のマッピング

CVSS スコア深刻度対応
9.0 - 10.0CRITICAL直ちに修正
7.0 - 8.9HIGHマージ前に修正
4.0 - 6.9MEDIUM修正を計画
0.1 - 3.9LOW文書化

参考資料

コメント

Markdown 対応