Nvd

NVD — 国家漏洞数据库

NIST 的国家漏洞数据库。包含已发布的所有 CVE（常见漏洞与暴露）：软件漏洞、严重性评分（CVSS）、受影响产品（CPE）及参考资料。判断“这个软件版本是否存在漏洞？”的权威来源。免费，无需身份验证（速率限制较宽松；建议使用密钥）。

属于 Pipeworx — 一个将 AI Agent 连接到 1684+ 个实时数据源的 MCP 网关。

这对 AI Agent 有何意义

对于安全分析、供应链风险评估，或“依赖项 X 受哪些 CVE 影响？”这类问题，NVD 是信息来源。商业漏洞数据库会在 NVD 的基础上添加筛选整理，而 NVD 是原始的联邦记录。可搭配 USPTO 专利查询安全知识产权，搭配 SEC EDGAR查询违规披露。

常见工作流：

• 查询 CVE。 按 ID 查找特定 CVE 的完整记录。
• 按产品／版本搜索。 “Apache Log4j 2.x 受哪些 CVE 影响？”→ 关键词 + CPE 筛选。
• 按严重性查看近期 CVE。 查看近期发布的严重和高严重性漏洞披露。
• CVSS 评分。 每个 CVE 都有 CVSS v2、v3.0 和 v3.1 评分；当前分析应使用 v3.x。

身份验证

NVD 的 REST API 免费使用；未经过身份验证的客户端每 30 秒可发起约 5 次请求。在 https://nvd.nist.gov/developers/request-an-api-key 免费获取 API 密钥后，每 30 秒可发起约 50 次请求。通过 _apiKey 传入。

严重性等级（CVSS v3）

分数	等级
0.1–3.9	低
4.0–6.9	中
7.0–8.9	高
9.0–10.0	严重

对于 Agent 分诊，“过去 90 天内的高和严重漏洞”是常见的重点关注范围。

常见注意事项

• CPE 匹配较繁琐。 CPE（通用平台枚举）是用于标识“此 CVE 影响此产品版本”的受控词汇。CPE 中的软件名称通常与市场营销名称不同。搜索 CVE 前，先使用 NVD 的 CPE 搜索查找正确的 CPE。
• CVE 覆盖并不完整。 有些漏洞会在未分配 CVE 的情况下悄悄修复。反过来，并非所有 CVE 在实际中都可利用。请结合环境进行分诊。
• 严重性评分不等于可利用性。 如果你没有使用某项功能，那么该功能的严重 CVSS 评分无关紧要；而暴露在互联网中的某项内容即使只有中等 CVSS 评分，其风险也可能高于评分所暗示的程度。条件允许时，可搭配 EPSS（漏洞利用预测评分系统）使用。
• 已预留与已发布。 已预留的 CVE（“RESERVED”）是等待公开披露的占位记录。发布后，实际内容会显示在 description 中。使用 vulnStatus 筛选实际已知的信息。
• 参考资料更新滞后。 补丁和漏洞利用检测特征通常会早于 NVD 记录更新。若要实时响应漏洞，可叠加使用 GitHub Security Advisories 或供应商渠道。
• 修改日期与发布日期。 “修改”日期通常表示重新评分或参考资料更新，而非新发现。若要查看“本周披露了什么”，请按 publishedDate 排序。

快速开始

添加到你的 MCP 客户端（Claude Desktop、Cursor、Windsurf 等）：

{
  "mcpServers": {
    "nvd": {
      "url": "https://gateway.pipeworx.io/nvd/mcp"
    }
  }
}

此端点实际提供的内容

https://gateway.pipeworx.io/nvd/mcp 上的 tools/list 会返回上表中的工具，以及 Pipeworx 共享元工具——ask_pipeworx、 discover_tools、search_within、remember/recall 及其他 网关级工具。因此，你看到的工具数量会多于此表：目前，单个套件端点会列出约 30 个共享工具，以及该套件自身的工具。连接的 initialize 响应会说明确切范围，是当天情况的权威依据。

这是有意为之，并非意外的多路复用。元工具可让范围受限的连接回答此套件未覆盖的问题——通过 ask_pipeworx 跨整个目录进行路由——而无需添加第二个 MCP 服务。目前无法挂载不含这些工具的套件端点；如果额外的架构定义占用的上下文超过了路由带来的价值，请连接一次完整网关，而不是连接多个套件端点。

或者连接完整的 Pipeworx 网关，直接列出每个套件的工具，而不只是此套件的工具：

{
  "mcpServers": {
    "pipeworx": {
      "url": "https://gateway.pipeworx.io/mcp"
    }
  }
}

两个 URL 都连接到同一个网关，并访问相同的 1684+ 个数据源。唯一的区别是哪些套件的工具会被直接列出；无论连接哪一个，ask_pipeworx 都可以访问所有工具。

没有 MCP 客户端？通过 HTTP 调用

curl -X POST https://gateway.pipeworx.io/v1/tools/search_cves \
  -H 'Content-Type: application/json' \
  -d '{"query":"log4j"}'

首次调用无需账户。查看任意工具：GET https://gateway.pipeworx.io/v1/tools/search_cves。查找工具：使用 {"query":"..."} 向 POST https://gateway.pipeworx.io/v1/tools/search_packs 发送请求。

独立运行（无需网关账户）

此软件包也可以作为本地 stdio MCP 服务运行——无需 Pipeworx 账户，也无需往返网关：

{
  "mcpServers": {
    "nvd": {
      "command": "npx",
      "args": ["-y", "@pipeworx/mcp-nvd"]
    }
  }
}

或者直接运行，以确认它能正常启动：

npx -y @pipeworx/mcp-nvd

它通过 stdin/stdout 使用 MCP，并仅针对此套件的工具响应 initialize/tools/list/tools/call——不包含上文网关连接额外提供的任何共享元工具。源代码相同，工具相同，但没有 ask_pipeworx 路由。

使用 ask_pipeworx

你可以用普通英语提问，而不是直接调用工具——此方式既适用于上文的套件端点，也适用于完整网关：

ask_pipeworx({ question: "your question about Nvd data" })

网关会自动选择合适的工具并填入参数。

更多信息

• 文档与指南
• pipeworx.io

许可证

MIT