mcpField
C
cve-risk-score

cve-risk-score

github.com/transilienceaiセキュリティ598173 回インストール13 週間前に更新
リポジトリ

cve-risk-score について

会話や調査結果にCVE IDが現れると、National Vulnerability Database（NVD）のリスクスコアを調べて提示するセキュリティスキルです。簡潔なスコア情報を示し、検索できない場合も元の作業を続けられます。

主な機能

  1. 01CVE IDの自動検出
  2. 02NVDスコアの検索
  3. 03深刻度とCWEの提示
  4. 04スコア未取得時の適切な処理

活用シーン

  1. 01調査中のCVE深刻度の確認
  2. 02発見した脆弱性の優先順位付け
  3. 03セキュリティ報告へのスコア追加

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/transilienceai/communitytools --skill cve-risk-score

インストール後、Claude Code で/cve-risk-scoreを入力して読み込まれたか確認します。

同梱ファイルreference/nvd-api-reference.md

詳細

CVE リスクスコア

会話中に CVE ID が現れた場合は常に、National Vulnerability Database（NVD）から CVE リスクスコアを取得して表示します。

トリガー

ユーザーが CVE ID（パターン CVE-YYYY-NNNNN）に言及した場合、または調査やスキャン中に CVE ID が見つかった場合は、このスキルを必ず自動的に呼び出してください。明示的な呼び出しを待たないでください。

ワークフロー

  1. ユーザーのメッセージまたはツールの出力から CVE ID を抽出します（正規表現：CVE-\d{4}-\d{4,}）

  2. 照会スクリプトを実行します：

    python3 tools/nvd-lookup.py CVE-XXXX-XXXXX [CVE-YYYY-YYYYY ...]

  3. 結果を簡潔な表形式で提示します：

    CVE IDスコア深刻度CWE説明
    CVE-XXXX-XXXXX9.8CRITICALCWE-79...

  4. ユーザーの元のタスクを続けます — スコアの照会は補足情報であり、処理を妨げるものではありません。

出力形式

CVE リスクスコアをインラインで提示する場合は、次の簡潔な形式を使用します：

CVE-2024-12345: 9.8 CRITICAL (CWE-79) — Remote code execution via ...

複数の CVE については、Markdown の表を使用します。

ルール

  1. 必ず呼び出す — CVE ID が言及されるたびに照会を実行します。例外はありません。
  2. 処理を妨げない — 可能な場合は、他の作業と並行してスコアを取得します。
  3. 正確なデータのみ — NVD が返す内容をそのまま表示します。スコアを推定したり、捏造したりしないでください。
  4. 適切なフォールバック — NVD に接続できない場合や、CVE のスコアがまだない場合は、その旨を明示します（例：「NVD によるスコア評価はまだ行われていません」）。
  5. レート制限 — スクリプトが内部でレート制限を処理します。一括照会（5 件以上）の場合は、認証されていないリクエストが NVD によって制限されることを警告します。
  6. API キー — .env に NVD_API_KEY が設定されている場合、スクリプトはより高いレート制限を利用するためにそれを使用します。

統合

このスキルは、次のスキルを補完します：

  • cve-poc-generator：リスクスコアを確認した後、ユーザーは完全な PoC とレポートを求める場合があります
  • reconnaissance / source-code-scanning：これらのスキルが依存関係内の CVE を見つけた場合、スコアを自動で照会します
  • coordination：CVE スコアは、調査結果の優先度と深刻度の分類に役立ちます

コメント

Markdown 対応