mcpField
C
cve-research

cve-research

github.com/fusengine安全34355 次安装2 周前更新
代码仓库

关于 cve-research

CVE Research 是一项用于查询单个依赖项已知漏洞的技能，适合开发者评估依赖风险。它交叉核对 OSV.dev、NVD、GitHub Advisory 和 Exa 的结果，并按严重性与可利用性给出修复版本和缓解措施。

主要功能

  1. 01查询多个漏洞数据源
  2. 02交叉核对漏洞结果
  3. 03按 CVSS 与可利用性排序
  4. 04提供修复版本和缓解措施
  5. 05范围限定为单个依赖项

适用场景

  1. 01合并前检查某个依赖项的漏洞
  2. 02为已发现的 CVE 确定修复优先级
  3. 03查找依赖项的修复版本或临时措施

MCP 相关

技能使用 Exa MCP 进行实时网页搜索；其他漏洞来源通过各自的 API 查询。

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/fusengine/claude-plugins --skill cve-research

安装后在 Claude Code 中输入/cve-research确认已加载。

详细介绍

该技能会通过多个来源研究某个特定依赖项的已知漏洞：OSV.dev（npm、PyPI、Go、crates、Maven）、NVD（CVSS 评分）、GitHub Advisory Database（维护者回复），以及用于查找尚未编入索引的公告的 Exa 网页搜索。

它会优先查询 OSV.dev，以确保速度和准确性；交叉查询 NVD 获取 CVSS 评分；使用 Exa 查找最新公告；并检查 GitHub Advisory 中的维护者回复，然后交叉比对结果，并根据 CVSS 评分和可利用性确定优先级——CRITICAL（9.0-10.0）立即修复，HIGH（7.0-8.9）合并前修复，MEDIUM（4.0-6.9）计划修复，LOW（0.1-3.9）记录在案——并报告修复版本和变通方案。

不在范围内：这只是对单个依赖项进行查询，并非全面扫描项目依赖项（如需全面扫描，请使用 dependency-audit）。

CVE 研究技能

概述

使用多个来源研究项目依赖项的已知漏洞。

数据来源

来源API覆盖范围
NVDnvd.nist.gov/vuln/api所有 CVE
OSV.devapi.osv.devnpm、PyPI、Go、crates、Maven
GitHub Advisorygithub.com/advisoriesnpm、pip、composer、cargo
Exa Search通过 MCP实时网页搜索

工作流

  1. 提取项目中的依赖项（package.json 等）
  2. 查询各个来源，查找已知 CVE
  3. 交叉比对各来源的结果
  4. 根据 CVSS 评分和可利用性确定优先级
  5. 报告修复版本和变通方案

查询策略

对于每个依赖项：

  1. 首先搜索 OSV.dev（速度最快，针对软件包最准确）
  2. 交叉查询 NVD 获取 CVSS 评分
  3. 使用 Exa 查找数据库中尚未收录的最新公告
  4. 检查 GitHub Advisory 中的维护者回复

严重性映射

CVSS 评分严重性操作
9.0 - 10.0CRITICAL立即修复
7.0 - 8.9HIGH合并前修复
4.0 - 6.9MEDIUM计划修复
0.1 - 3.9LOW记录在案

参考资料

评论

支持 Markdown