Oxiploitability

oxiploitability-mcp

Oxiploitability 是一个用于基于来源开展 CVE 研究的 Rust MCP 服务。它整合了 NVD 漏洞记录、FIRST EPSS 概率、CISA KEV 条目、OSV 软件包公告、CVE.org 记录和公开概念验证（PoC）索引。它还可以检查受支持的 SBOM、锁文件、项目目录和容器镜像。

本产品使用 NVD API，但未获 NVD 背书或认证。EPSS 由 FIRST 发布，KEV 由 CISA 发布，软件包公告由 OSV.dev 发布，CVE 记录由 CVE.org 发布，公开概念验证链接则来自 nomi-sec/PoC-in-GitHub 索引。

mcp-name: io.github.abelreqma/oxiploitability-mcp

工具

工具	输入	结果
enrich_cve	一个 CVE 或最多 100 个 CVE	汇总 NVD、EPSS、KEV、CVE.org 和 PoC 数据，并单独保留来源错误。
nvd_cve	一个 CVE	NVD 描述、评分、弱点、受影响产品和参考资料。
epss_scores	最多 100 个 CVE	EPSS 概率和百分位数。
kev_lookup	最多 100 个 CVE	CISA KEV 条目和未列出的 ID。
product_cves	产品名称、CPE、软件包 URL 或软件包名称	按相关性排序的 CVE、版本证据和建议操作。
scan_sbom	SBOM、锁文件、目录或镜像	组件发现项、未检查项目、操作建议和新的本地 JSON 报告。
poc_search	一个 CVE	PoC 索引中的公开仓库链接；这些链接未经审核，仅供进一步调查。

发现项会注明其来源并链接到相应记录。nvd-cpe、cve.org-cna 和 osv:* 标识产品或软件包证据；nvd-description 是线索，其 confirmed: false。缺少评分、KEV 条目或 PoC，并不能证明漏洞是安全的或未被利用。依赖答案前，请先检查 partial、warnings、needs_verification 和 not_checked。

查询工具不会写入本地文件。scan_sbom 会创建新报告，不会替换现有报告；如果已安装 Trivy 或 Syft，镜像扫描可能会通过它们拉取镜像。有关出站数据和本地文件的信息，请参阅 PRIVACY.md。

从检出目录安装

在此仓库中，使用以下命令安装本机可执行文件：

cargo install --path . --locked

可执行文件通常位于 ~/.cargo/bin/oxiploitability。Rust 会针对每种操作系统和 CPU 架构构建本机可执行文件，因此请在桌面客户端设置中使用匹配的构建版本及其完整路径；桌面应用可能无法继承 shell 的 PATH。

NVD API 密钥为可选项。如果有密钥，可在 CLI 客户端的私有环境中设置 NVD_API；请勿将密钥提交到此仓库。未设置密钥时，服务会使用 NVD 较低的请求限额。

配置客户端

macOS 上的 Claude Desktop

将此条目添加到 ~/Library/Application Support/Claude/claude_desktop_config.json 的 mcpServers 中，保留其他服务，并在方便时重启 Claude Desktop：

{
  "mcpServers": {
    "oxiploitability": {
      "command": "/absolute/path/to/oxiploitability",
      "args": []
    }
  }
}

打包的 MCPB 扩展中的可选 NVD 密钥字段，对于某些二进制服务存在已知的 Claude Desktop 交付问题。不设置密钥也能正常使用。也可以通过“设置”>“扩展”>“高级设置”>“安装扩展”，安装适用于特定平台的 .mcpb 发布包。

Claude Code

claude mcp add --transport stdio --scope user oxiploitability -- /absolute/path/to/oxiploitability

Codex CLI

codex mcp add oxiploitability -- /absolute/path/to/oxiploitability

添加服务后，请启动一个新的 Codex 聊天会话。如果改为编辑 ~/.codex/config.toml，请使用 [mcp_servers.oxiploitability] 和 command = "/absolute/path/to/oxiploitability"。

Hermes Agent

将此条目合并到 ~/.hermes/config.yaml 的 mcp_servers 下：

mcp_servers:
  oxiploitability:
    command: /absolute/path/to/oxiploitability

运行 hermes mcp test oxiploitability 检查是否成功发现服务。在现有 Hermes 聊天会话中，更改配置后使用 /reload-mcp。

开发与发布

cargo fmt --check
cargo clippy --all-targets --locked -- -D warnings
cargo test --locked
python3 -m unittest discover -s mcpb -p 'test_*.py'

测试使用本地模拟 HTTP 响应。CI 会在发布前构建 macOS、Linux 和 Windows 版本。要发布，请创建一个 v* 标签，然后针对该标签手动运行 gh workflow run release.yml --ref vX.Y.Z；工作流会在发布到 crates.io 和 MCP Registry 之前验证暂存的资源。检查客户端安装情况之前，请勿运行该工作流。

许可证

根据 MIT 或 Apache-2.0 许可证授权，你可以自行选择。请参阅 LICENSE-MIT 和 LICENSE-APACHE。