Osv

mcp-osv

OSV.dev（开源漏洞）MCP。

属于 Pipeworx — 一个将 AI Agent 连接到 1683+ 个实时数据源的 MCP 网关。

工具

工具	描述
query_package_vulns	通过 OSV.dev 数据库查找开源软件包的所有已知漏洞，可选择指定版本。省略版本即可获取该软件包的所有已知漏洞。返回精简的摘要数组（id、摘要、别名、严重程度、参考资料）。无需密钥。
get_vulnerability	根据 OSV ID 获取单个漏洞的完整详情，例如 "GHSA-jf85-cpcp-j695"、"CVE-2021-23337"、"PYSEC-2021-XXX"。返回摘要、详细信息、别名、严重程度、受影响的软件包/版本范围及参考资料。无需密钥。
query_by_commit	通过 OSV.dev 查找影响特定源代码仓库 git commit 的漏洞。当你有固定的 commit 哈希，而非已发布版本时，此工具很有用。返回相同的精简漏洞摘要数组。无需密钥。
query_batch	对 OSV.dev 执行批量漏洞查询（每次调用最多 1000 条），适用于 SBOM 式的“扫描此 lockfile 中的每个依赖项”工作流。传入由 {package:{name,ecosystem}, version?} 或 {commit} 条目组成的数组。返回每个查询匹配到的漏洞 ID（使用 get_vulnerability 获取每个 ID 的完整详情）。无需密钥。

快速开始

添加到你的 MCP 客户端（Claude Desktop、Cursor、Windsurf 等）：

{
  "mcpServers": {
    "osv": {
      "url": "https://gateway.pipeworx.io/osv/mcp"
    }
  }
}

此端点实际提供的内容

tools/list 在 https://gateway.pipeworx.io/osv/mcp 返回上表中的工具，以及共享的 Pipeworx 元工具 — ask_pipeworx、 discover_tools、search_within、remember/recall 及网关范围内的其余工具。因此，你看到的工具数量会多于此表所列：单个工具包端点目前会列出大约 30 个共享工具，以及该工具包自身的工具。连接的 initialize 响应会说明其确切范围，也是当天最权威的信息。

这是有意为之，并非意外的多路复用。元工具使范围受限的连接能够回答此工具包无法涵盖的问题 — 通过 ask_pipeworx 路由到整个目录 — 无需你再添加第二个 MCP 服务。目前无法挂载不带这些元工具的工具包端点；如果额外的架构定义消耗的上下文超过路由带来的价值，请连接一次完整网关，而不是连接多个工具包端点。

或者连接完整的 Pipeworx 网关，直接列出每个工具包的工具，而不只是当前工具包的工具：

{
  "mcpServers": {
    "pipeworx": {
      "url": "https://gateway.pipeworx.io/mcp"
    }
  }
}

两个 URL 都连接到同一个网关和相同的 1683+ 个数据源。唯一的区别是直接列出哪些工具包的工具；通过任一端点，ask_pipeworx 都能访问所有工具。

没有 MCP 客户端？通过 HTTP 调用

curl -X POST https://gateway.pipeworx.io/v1/tools/query_package_vulns \
  -H 'Content-Type: application/json' \
  -d '{"name":"lodash","ecosystem":"npm"}'

首次调用无需账户。查看任意工具：GET https://gateway.pipeworx.io/v1/tools/query_package_vulns。查找工具：使用 {"query":"..."} 向 https://gateway.pipeworx.io/v1/tools/search_packs 发送 POST 请求。

独立运行（无需网关账户）

此软件包也可以作为本地 stdio MCP 服务运行 — 无需 Pipeworx 账户，也无需往返网关：

{
  "mcpServers": {
    "osv": {
      "command": "npx",
      "args": ["-y", "@pipeworx/mcp-osv"]
    }
  }
}

或者直接运行以确认其能够启动：

npx -y @pipeworx/mcp-osv

它通过 stdin/stdout 使用 MCP 通信，并响应 initialize/tools/list/tools/call，但仅限此工具包的工具 — 不包括上述网关连接额外提供的共享元工具。相同的源代码、相同的工具，但没有 ask_pipeworx 路由。

与 ask_pipeworx 搭配使用

你可以用普通英文提问，而不是直接调用工具 — 在上述工具包端点和完整网关上都能使用：

ask_pipeworx({ question: "your question about Osv data" })

网关会选择合适的工具并自动填入参数。

更多信息

• 文档和指南
• pipeworx.io

许可证

MIT