mcpField
C
cve-research

cve-research

github.com/fusengine安全34354 次安装2 周前更新
代码仓库

关于 cve-research

cve-research 是面向开发者的依赖漏洞研究技能，针对单个依赖查询多个漏洞来源并交叉核对。它按 CVSS 和可利用性排序，并报告修复版本与缓解措施。

主要功能

  1. 01查询 OSV.dev、NVD 和 GitHub Advisory
  2. 02使用 Exa 搜索近期公告
  3. 03交叉核对漏洞发现
  4. 04按严重性和可利用性排序
  5. 05报告修复版本与缓解措施

适用场景

  1. 01检查某个依赖是否存在已知 CVE
  2. 02合并前评估漏洞严重性
  3. 03查找数据库尚未收录的近期公告

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/fusengine/agents --skill cve-research

安装后在 Claude Code 中输入/cve-research确认已加载。

附带文件references/cve-apis.mdreferences/templates/cve-query.md

详细介绍

该技能会通过多个来源研究某个特定依赖项的已知漏洞：OSV.dev（npm、PyPI、Go、crates、Maven）、NVD（CVSS 评分）、GitHub Advisory Database（维护者回复），以及用于查找尚未编入索引的公告的 Exa 网页搜索。

它会优先查询 OSV.dev，以确保速度和准确性；交叉查询 NVD 获取 CVSS 评分；使用 Exa 查找最新公告；并检查 GitHub Advisory 中的维护者回复，然后交叉比对结果，并根据 CVSS 评分和可利用性确定优先级——CRITICAL（9.0-10.0）立即修复，HIGH（7.0-8.9）合并前修复，MEDIUM（4.0-6.9）计划修复，LOW（0.1-3.9）记录在案——并报告修复版本和变通方案。

不在范围内：这只是对单个依赖项进行查询，并非全面扫描项目依赖项（如需全面扫描，请使用 dependency-audit）。

CVE 研究技能

概述

使用多个来源研究项目依赖项的已知漏洞。

数据来源

来源API覆盖范围
NVDnvd.nist.gov/vuln/api所有 CVE
OSV.devapi.osv.devnpm、PyPI、Go、crates、Maven
GitHub Advisorygithub.com/advisoriesnpm、pip、composer、cargo
Exa Search通过 MCP实时网页搜索

工作流

  1. 提取项目中的依赖项（package.json 等）
  2. 查询各个来源，查找已知 CVE
  3. 交叉比对各来源的结果
  4. 根据 CVSS 评分和可利用性确定优先级
  5. 报告修复版本和变通方案

查询策略

对于每个依赖项：

  1. 首先搜索 OSV.dev（速度最快，针对软件包最准确）
  2. 交叉查询 NVD 获取 CVSS 评分
  3. 使用 Exa 查找数据库中尚未收录的最新公告
  4. 检查 GitHub Advisory 中的维护者回复

严重性映射

CVSS 评分严重性操作
9.0 - 10.0CRITICAL立即修复
7.0 - 8.9HIGH合并前修复
4.0 - 6.9MEDIUM计划修复
0.1 - 3.9LOW记录在案

参考资料

评论

支持 Markdown