CVE Risk Check

Verifica un CVE o una versión de paquete contra NVD, OSV.dev, CISA KEV y FIRST EPSS en una sola respuesta. MCP remoto, sin clave.

Ver en openkrill.app

Servidor MCP alojado

npx add-mcp 'https://cve.openkrill.app/mcp'

Se instala en Claude Code, Codex, Cursor y más

Documentación

Preguntas que responde

Clasificación de vulnerabilidades de seguridad: por ID de CVE (qué tan grave es, si está siendo explotado, qué tan probable es su explotación) o para una lista completa de dependencias (qué 3 paquetes actualizar primero y a qué versión).

Pregunte "¿qué tan grave es CVE-2021-44228?", "¿cuál de estos CVE debería parchear primero?", "¿qué agregó CISA a su lista de explotados este mes?" o "¿qué dependencias en este package-lock.json debería corregir primero?".

CVE Risk Check lee dos fuentes públicas gratuitas. La Base de Datos Nacional de Vulnerabilidades (NVD) proporciona la descripción, la puntuación CVSS y la severidad, la fecha de publicación, un enlace a un parche o aviso del proveedor cuando está etiquetado, y si el catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA lista el CVE, con la fecha límite y la acción requerida de CISA. El EPSS de FIRST proporciona la probabilidad modelada de que el CVE sea explotado en los próximos 30 días.

Cada CVE recibe una prioridad: "explotado" cuando CISA lo lista, "probable" cuando su puntuación EPSS es 0.1 o más, de lo contrario "rutinario", o "desconocido" cuando no se pudo leer el EPSS. Un lote de hasta 10 CVE se devuelve ordenado con el más urgente primero.

Cada respuesta nombra sus fuentes y la fecha de la que provienen el registro NVD y la puntuación EPSS. NVD limita las solicitudes sin clave, por lo que los registros se almacenan en caché durante unas horas; un cambio reciente en un CVE puede tardar ese tiempo en aparecer, y cuando NVD pide a este servicio que se ralentice, la respuesta lo dice y cuándo reintentar.

Para una lista de dependencias, pase el texto de un archivo de bloqueo (package-lock.json, pnpm-lock.yaml, yarn.lock, poetry.lock, uv.lock, Cargo.lock, go.sum o go.mod), un package.json o un requirements.txt, o una lista de paquetes con versiones exactas (npm, PyPI, Go, crates.io, Maven, RubyGems, NuGet o Packagist). Cada versión de paquete se compara con sus avisos conocidos en OSV.dev, que recopila la Base de Datos de Avisos de GitHub y otras bases de datos abiertas. Los IDs de CVE de los avisos se verifican luego contra la lista de explotados de CISA y EPSS. La respuesta son los pocos paquetes a corregir primero, cada uno con una prioridad (malicioso, explotado, probable, rutinario o desconocido), una razón de una línea y la versión a la que actualizar, seguido de una breve lista del resto. La coincidencia es por nombre y versión exactos: no muestra que su código alcanza el código vulnerable.

No escanea sus sistemas, no lee su código fuente, no confirma que usted es vulnerable ni le dice cómo explotar nada. Los IDs de CVE y las listas de dependencias que envía no se almacenan; el único registro duradero es un conteo diario de llamadas por herramienta.

Preguntas breves que responde este servidor, cada una con una respuesta directa: Consulta de Estado de Explotación de CVE, EPSS y Prioridad de Parche.

Lo que puede hacer

  • Consulta la descripción, la puntuación CVSS y la severidad, y la fecha de publicación de un CVE desde la NVD
  • Muestra si el catálogo de Vulnerabilidades Explotadas Conocidas de CISA lista un CVE, con su fecha límite y acción requerida
  • Añade la puntuación EPSS: la probabilidad modelada de explotación en los próximos 30 días
  • Asigna a cada CVE una prioridad: explotado, probable o rutinario
  • Clasifica un lote de hasta 10 CVE con el más urgente primero
  • Lee un archivo de bloqueo de npm, pnpm, yarn, Poetry, uv, Cargo o Go y nombra los 3 paquetes a actualizar primero, con la corrección
  • Compara versiones de paquetes con avisos de OSV.dev en 8 ecosistemas, incluidos npm, PyPI, Go, Maven y crates.io
  • Lista CVE agregados recientemente a la lista de explotados de CISA, opcionalmente filtrados por una palabra de producto
  • Enlaza un parche o aviso del proveedor cuando NVD lo etiqueta, y nombra sus fuentes y fechas

Herramientas

  • check_cve, Verificar un CVE. Úsela cuando el usuario pregunte qué tan grave es un CVE, como "¿qué tan grave es CVE-2021-44228?". Pase el ID del CVE. Devuelve una prioridad (explotado, probable, rutinario o desconocido), la descripción, la puntuación CVSS y la severidad, si el catálogo de Vulnerabilidades Explotadas Conocidas de CISA lo lista, la probabilidad de explotación EPSS, un enlace de parche o aviso cuando está etiquetado, y las fechas as_of. Una consulta por ID de CVE: no sabe qué software ejecuta el usuario ni si está afectado.
  • check_cves, Clasificar varios CVE. Úsela cuando el usuario tenga una lista de IDs de CVE y quiera saber cuál abordar primero, como "¿cuál de estos CVE debería parchear primero?". Pase hasta 10 IDs de CVE. Devuelve la prioridad de cada uno, la puntuación CVSS, el estado en la lista de explotados de CISA y la puntuación EPSS, el más urgente primero, con un conteo por prioridad. Un ID que NVD no pudo consultar en esta llamada se marca como diferido; pídalo de nuevo más tarde. No sabe qué software ejecuta el usuario.
  • list_recent_kev, Listar CVE explotados recientes. Úsela cuando el usuario pregunte qué agregó CISA recientemente a su lista de Vulnerabilidades Explotadas Conocidas, como "¿qué CVE explotados se agregaron este mes?". Opcionalmente pase cuántos días atrás (hasta 90), una palabra de producto para filtrar y un límite. Devuelve cada CVE con su nombre CISA, la fecha en que se agregó, la fecha límite de CISA y su puntuación CVSS, el más reciente primero. El catálogo lista vulnerabilidades con evidencia de explotación; no es una lista de todos los CVE graves.
  • triage_dependencies, Clasificar vulnerabilidades de dependencias. Úsela cuando el usuario quiera saber qué dependencias vulnerables corregir primero, como "¿qué dependencias en este package-lock.json debería actualizar primero?" o "clasifique mi requirements.txt". Pase el texto de un archivo de bloqueo (package-lock.json, pnpm-lock.yaml, yarn.lock, poetry.lock, uv.lock, Cargo.lock, go.sum o go.mod), un package.json o un requirements.txt como manifiesto, o una lista de paquetes con ecosistema, nombre y versión exacta (npm, pypi, go, crates.io, maven, rubygems, nuget, packagist); solo se leen nombres y versiones. Devuelve fix_first: por defecto los 3 paquetes a actualizar primero, cada uno con una prioridad (malicioso, explotado, probable, rutinario o desconocido), una línea sobre el motivo, los IDs de CVE y la versión que lo corrige, luego una breve lista de los otros paquetes vulnerables y un conteo por prioridad. Compara versiones exactas de paquetes con avisos conocidos; no escanea código ni muestra que el código vulnerable se alcanza.

Añadir CVE Risk Check en Claude

Claude se conecta a un servidor MCP remoto como conector personalizado. La conexión se realiza desde la nube de Anthropic, no desde su computadora portátil, por lo que el servidor debe estar en Internet público. CVE Risk Check lo está. Estos pasos se verificaron contra el artículo de conectores personalizados de Claude (actualizado el 2026-08-11) y la documentación de MCP de Claude Code el 2026-10-01.

En un plan Pro o Max:

  1. Abra Personalizar, luego Conectores.
  2. Seleccione el botón de más y luego Añadir conector personalizado.
  3. Pegue https://cve.openkrill.app/mcp. Deje la configuración avanzada vacía: este servidor no necesita un ID de cliente OAuth ni un secreto.
  4. Seleccione Añadir. El conector es suyo. Anthropic no lo ha revisado y no es un listado de Directorio.
  5. En una conversación, abra el botón de más, luego Conectores, y habilite CVE Risk Check. Pregunte: ¿Qué tan grave es CVE-2021-44228?

En Team y Enterprise, un Propietario añade el conector primero en Configuración de organización, luego Conectores, luego Añadir, luego Personalizado, luego Web, y pega la misma URL. Los miembros luego lo conectan desde Personalizar. Un plan Free puede añadir un conector personalizado.

En Claude Code, añádalo desde el directorio del proyecto:

claude mcp add --transport http cve https://cve.openkrill.app/mcp

Eso escribe una configuración local o de usuario. Una entrada JSON necesita "type": "http" (o streamable-http) más la url. Una entrada con una url y sin tipo se omite. Confirme con claude mcp get cve. Las herramientas que debería ver son check_cve, check_cves, list_recent_kev, triage_dependencies.

Si Claude intenta obtener https://cve.openkrill.app/mcp desde su sandbox de código e informa HTTP 403, el bloqueo es la lista de permitidos de red del sandbox de Claude, no este servidor. El proxy del sandbox responde 403 con x-deny-reason: host_not_allowed para cada host fuera de la lista de permitidos. Use el conector anterior en su lugar: las llamadas del conector provienen de la nube de Anthropic y no pasan por el proxy del sandbox. Para permitir que el sandbox también lo alcance, un Propietario añade cve.openkrill.app en Configuración, luego Capacidades, luego Dominios adicionales permitidos.

Habilite el conector solo en conversaciones que lo necesiten. Claude puede llamar a las herramientas mientras usted trabaja, incluso durante la investigación, así que desactive cualquier herramienta que no desee invocar. CVE Risk Check no escribe en sus cuentas. Aun así recibe los argumentos de cada llamada. Lea la página de privacidad antes de pegar cualquier cosa que no sea pública.

Si no funciona

La herramienta no aparece

En Claude, habilite el conector en la conversación desde el botón de más, luego Conectores. En Claude Code, ejecute claude mcp list desde el mismo directorio donde lo añadió, luego inicie una nueva sesión: una sesión en ejecución no carga un nuevo servidor.

429 o rate_limited

Cada servidor acepta 60 llamadas por minuto desde una red, y algunas herramientas aceptan menos. Pasado eso, la llamada regresa como un error de herramienta que comienza con rate_limited: espere un minuto y pregunte de nuevo. daily_limit significa que el servidor alcanzó su límite diario compartido, que se restablece a las 00:00 UTC. Un límite no es una respuesta, así que no lo lea como ausencia de resultados. Para límites más altos, solicite una clave a support@openkrill.app.

La entrada JSON no tiene tipo

Claude Code omite una entrada en .mcp.json que tiene una url pero no tipo. Añada "type": "http" junto a la url, o añada el servidor con claude mcp add --transport http, que escribe el tipo por usted. La entrada de VS Code necesita el mismo campo de tipo. Cursor y Pi leen la url sola.

Una llamada verificada el 2026-10-11

CVE-2021-44228 es Log4Shell, listado por CISA, por lo que la prioridad, CVSS y KEV se pueden verificar contra el registro público. La solicitud a continuación se publicó en https://cve.openkrill.app/mcp como tools/call. HTTP 200. Fuente: el servidor CVE Risk Check, leído el 2026-10-11.

{
  "method": "tools/call",
  "params": {
    "name": "check_cve",
    "arguments": {
      "cve": "CVE-2021-44228"
    }
  }
}
  • estado. ok
  • prioridad. explotado
  • cve. CVE-2021-44228
  • fuente. NVD (nvd.nist.gov, incluye el indicador de Vulnerabilidades Explotadas Conocidas de CISA) y FIRST EPSS (first.org)
  • aviso. La prioridad es una sugerencia de clasificación, no una calificación de riesgo: explotado significa que CISA lo lista como explotado en la naturaleza, probable significa una puntuación EPSS de 0.1 o más, rutinario es cualquier valor inferior. Para verificar si una versión de paquete está afectada,
  • nombre KEV. Vulnerabilidad de Ejecución Remota de Código en Apache Log4j2

Repita la llamada usted mismo si necesita una lectura más reciente. Las respuestas en caché caducan. Un límite de velocidad no es un resultado: espere e intente de nuevo. Nada en la llamada es una clasificación, un informe o un consejo.

Uso en producción

Nada que instalar y nada que ejecutar: sin paquete, sin versión de Python o Node.js y sin variable de entorno. CVE Risk Check se ejecuta en nuestros servidores, y su cliente solo necesita la URL https://cve.openkrill.app/mcp.

Límite de velocidad60 llamadas de herramienta por minuto desde una red. initialize y tools/list no cuentan.
Límite diario5000 llamadas de herramienta al día por servidor, compartidas por todos los llamadores. Se restablece a las 00:00 UTC.
En un límiteLa llamada regresa como un error de herramienta que comienza con rate_limited (espere un minuto) o daily_limit (intente después de las 00:00 UTC), nunca como una respuesta parcial.
ClaveNinguna. No añada un encabezado Authorization ni un campo de clave.
Límites más altosEnvíe un correo a support@openkrill.app con el nombre del servidor, las llamadas al día que espera y para qué son. Respondemos dentro de 1 día hábil.
FrescuraAlgunas respuestas provienen de una caché breve. Cada guía muestra la fecha de su llamada verificada; repita una llamada cuando necesite una lectura más reciente.
DisponibilidadLlamadas de prueba programadas verifican los servidores a través del mismo endpoint. Aún no hay SLA.
DatosLo que cada servidor recibe y conserva está en la página de privacidad.

Úselo en otras aplicaciones

Roles que usan CVE Risk Check

Preguntas frecuentes

¿Cómo instalo el servidor MCP de CVE Risk Check en Claude? En Claude, abre Personalizar, luego Conectores, elige Añadir conector personalizado y pega https://cve.openkrill.app/mcp. En Claude Code, ejecuta claude mcp add --transport http cve https://cve.openkrill.app/mcp. No se necesita reiniciar para ninguno de los dos.

¿Necesito una clave API para ejecutar CVE Risk Check en Claude?

No. Este servidor no requiere clave API. Para límites más altos, escribe a support@openkrill.app con el nombre del servidor (CVE Risk Check), las llamadas diarias que esperas y para qué son. Respondemos dentro de 1 día hábil.

¿Qué debo hacer si CVE Risk Check no se conecta en Claude?

Comprueba que la URL del conector termine en /mcp y que la configuración avanzada esté vacía. En Claude Code, ejecuta claude mcp get cve; una entrada JSON con una url pero sin type se omite, así que añade type http.