mcpField
C
cve-risk-score

cve-risk-score

github.com/transilienceai安全598173 次安装13 周前更新
代码仓库

关于 cve-risk-score

当对话或研究结果中出现 CVE ID 时，自动查询并展示国家漏洞数据库（NVD）的风险评分。它提供简明的评分信息；查询不可用时，原任务仍可继续。

主要功能

  1. 01自动检测 CVE ID
  2. 02查询 NVD 评分
  3. 03报告严重性与 CWE
  4. 04妥善处理缺失评分

适用场景

  1. 01研究时核查 CVE 严重性
  2. 02排列已发现漏洞的优先级
  3. 03为安全发现补充评分

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/transilienceai/communitytools --skill cve-risk-score

安装后在 Claude Code 中输入/cve-risk-score确认已加载。

附带文件reference/nvd-api-reference.md

详细介绍

CVE 风险评分

每当对话中出现 CVE ID 时，从国家漏洞数据库（NVD）获取并显示 CVE 风险评分。

触发条件

每当用户提及 CVE ID（模式 CVE-YYYY-NNNNN）或在研究／扫描过程中发现 CVE ID 时，必须自动调用此技能。不要等待用户明确调用。

工作流程

  1. 提取 CVE ID：从用户消息或工具输出中提取（正则表达式：CVE-\d{4}-\d{4,}）

  2. 运行查询脚本：

    python3 tools/nvd-lookup.py CVE-XXXX-XXXXX [CVE-YYYY-YYYYY ...]

  3. 以简洁的表格形式呈现结果：

    CVE ID评分严重性CWE描述
    CVE-XXXX-XXXXX9.8CRITICALCWE-79...

  4. 继续执行用户的原始任务——评分查询仅作为补充信息，不应成为阻塞步骤。

输出格式

在行内显示 CVE 风险评分时，使用以下紧凑格式：

CVE-2024-12345: 9.8 CRITICAL (CWE-79) — Remote code execution via ...

对于多个 CVE，请使用 Markdown 表格。

规则

  1. 始终调用——每次提及 CVE ID 都会触发查询，无一例外。
  2. 非阻塞——尽可能在处理其他任务的同时并行获取评分。
  3. 仅提供准确数据——严格显示 NVD 返回的内容。切勿估算或编造评分。
  4. 妥善降级——如果无法访问 NVD，或该 CVE 尚无评分，请明确说明（例如：“NVD 尚未评分”）。
  5. 速率限制——脚本会在内部处理速率限制。批量查询（5 个及以上）时，请提醒用户 NVD 会限制未经身份验证的请求。
  6. API 密钥——如果 .env 中设置了 NVD_API_KEY，脚本会使用该密钥以获得更高的速率限制。

集成

此技能可与其他技能配合使用：

  • cve-poc-generator：查看风险评分后，用户可能会需要完整的 PoC 和报告
  • reconnaissance / source-code-scanning：当这些技能在依赖项中发现 CVE 时，自动查询其评分
  • coordination：CVE 评分有助于确定发现结果的优先级并对其进行严重性分类

评论

支持 Markdown