cve.now

npx add-mcp 'https://mcp.cve.now/mcp'

cve.now

Un flux public et gratuit de vulnérabilités. cve.now fusionne la CVE List, la GitHub Advisory Database, OSV, NVD, la base de données européenne des vulnérabilités d’ENISA (EUVD), le catalogue des vulnérabilités exploitées connues de CISA (KEV), les scores EPSS de FIRST et Exploit-DB en une seule entrée dédupliquée par vulnérabilité, puis la publie sous forme de flux RSS, Atom, JSON Feed, d’API JSON et de serveur MCP. Aucun compte ni clé API requis.

Ce dépôt est la page GitHub de cve.now : ce que c’est, comment l’utiliser et où signaler les problèmes. Le service est développé et exploité par Sazabi ; son code source n’est pas public.

Flux

Un seul point de terminaison, https://cve.now/feed, que l’on peut affiner avec des filtres combinables librement. RSS par défaut ; ajoutez format=atom ou format=json.

Flux	URL
Critique : dans CISA KEV, CVSS 9+ pour une technologie répertoriée, ou CVSS 7+ avec un score EPSS de 0.1 ou plus	https://cve.now/feed?filter=critical
Nouvelles vulnérabilités exploitées connues de CISA	https://cve.now/feed?filter=kev
Toutes les entrées	https://cve.now/feed
Une technologie	https://cve.now/feed?tech=nextjs
Un écosystème de paquets	https://cve.now/feed?ecosystem=npm
Combinaison	https://cve.now/feed?filter=critical&tech=nextjs&format=json
Plusieurs valeurs	https://cve.now/feed?tech=nextjs,react&ecosystem=npm,pypi

filter, tech et ecosystem acceptent chacun une ou plusieurs valeurs, sous forme de liste séparée par des virgules ou de paramètres répétés. Une entrée doit correspondre à l’une des valeurs indiquées pour un champ et à tous les champs fournis. Un flux combine au maximum 16 combinaisons de valeurs (par exemple, 4 technologies x 4 écosystèmes). list_feed dans le serveur MCP accepte les mêmes trois champs sous forme de listes.

Écosystèmes : npm, pypi, go, maven, crates.io, packagist, rubygems, hex, nuget.

Technologies : nextjs, react, node, express, django, flask, rails, spring, log4j, kubernetes, docker, nginx, apache-httpd, openssl, postgresql, mysql, redis, microsoft-sql-server, oracle-database, mariadb, ibm-db2, mongodb, sap-ase, php, wordpress, jenkins, gitlab, fortinet, citrix, ivanti, cisco-ios, palo-alto-panos, vmware, microsoft-exchange, chrome, linux-kernel. Il en manque un ? Demandez-le.

Dans Slack, exécutez /feed subscribe https://cve.now/feed?filter=critical dans n’importe quel canal.

Vérifiez votre stack

Téléversez un fichier de verrouillage sur cve.now pour obtenir un rapport partageable et un flux RSS contenant uniquement les entrées qui concernent les versions exactes de vos paquets. Formats pris en charge : package-lock.json, bun.lock, pnpm-lock.yaml, yarn.lock, requirements.txt, poetry.lock, uv.lock, Cargo.lock, go.sum, Gemfile.lock, mix.lock, composer.lock, Pipfile.lock, packages.lock.json (NuGet), gradle.lockfile, flake.lock (vérifié à partir du commit git épinglé par chaque entrée, via OSV ; les CVE des paquets nixpkgs ne sont pas vérifiées).

Pour une courte liste de paquets, créez vous-même l’URL du flux :

https://cve.now/stack?p=npm:lodash@4.17.20,pypi:django@4.2.0

Serveur MCP

Un serveur MCP distant Streamable HTTP à l’adresse https://mcp.cve.now/mcp, sans authentification. Outils : search, get_vulnerability, list_feed et check_stack. search accepte une requête (q) et des paramètres structurés (severity, kev, exploited, tech, ecosystem, vendor, package, published, type), explique pourquoi chaque résultat correspond et suggère des requêtes plus larges si aucun résultat ne correspond.

Claude Code

claude mcp add --transport http cve-now https://mcp.cve.now/mcp

Codex

codex mcp add cve-now --url https://mcp.cve.now/mcp

OpenCode (opencode.json)

{
  "$schema": "https://opencode.ai/config.json",
  "mcp": {
    "cve-now": {
      "type": "remote",
      "url": "https://mcp.cve.now/mcp",
      "enabled": true
    }
  }
}

Cursor (.cursor/mcp.json)

{
  "mcpServers": {
    "cve-now": { "url": "https://mcp.cve.now/mcp" }
  }
}

Demandez ensuite à votre agent d’exécuter check_stack sur le fichier de verrouillage de votre projet.

Pour que votre agent vérifie les dépendances de lui-même, ajoutez ceci au fichier AGENTS.md ou CLAUDE.md de votre projet :

## Dependency vulnerabilities

Use the cve.now MCP server (https://mcp.cve.now/mcp, no API key) for vulnerability checks:

- Before adding or upgrading a dependency, and when asked whether this project is affected by a CVE, call `check_stack` with the lockfile's contents (or the packages and exact versions).
- For any CVE, GHSA or OSV id, call `get_vulnerability` to see whether it is in CISA KEV, whether its EPSS score has reached 10% (and when), and the fixed versions.
- No matches means cve.now found none, not that the packages are safe.

API

Point de terminaison	Renvoie
https://cve.now/<id>	Page d’un identifiant CVE, GHSA ou OSV
https://cve.now/api/v1/entries/<id>	La même entrée au format JSON ; une entrée récemment synchronisée peut rediriger vers une copie statique, suivez donc les redirections (curl -L)
https://cve.now/api/v1/entries	Toutes les entrées publiées, de la plus récente à la plus ancienne, avec pagination via next_cursor
https://cve.now/api/v1/search	Recherche par q et paramètres MCP search, avec raisons de correspondance, décomptes des facettes et requêtes plus larges (llms.txt)
https://cve.now/api/v1/status	État de la collecte des sources et couverture du catalogue
https://cve.now/llms.txt	Guide en texte brut destiné aux LLM et aux agents

/feed et /api/v1/* envoient Access-Control-Allow-Origin: *.

Problèmes

Ouvrez un ticket pour signaler :

• une entrée erronée ou manquante
• deux entrées qui devraient être fusionnées, ou une entrée qui a fusionné des éléments à tort
• une technologie ou un écosystème de paquets que vous souhaitez voir pris en charge
• une source de divulgation que nous devrions surveiller
• un bogue dans un flux, une page, l’API ou le serveur MCP

Pour une erreur dans un enregistrement en amont (par exemple, une description CVE erronée), nous vous orienterons vers la CNA ou la base de données d’avis qui en est responsable.

Ne publiez pas ici de vulnérabilités non corrigées. Les tickets sont publics. Signalez au fournisseur toute vulnérabilité dans le produit d’un tiers. Signalez toute vulnérabilité dans cve.now à security@sazabi.ai (voir SECURITY.md).

Ce dépôt n’accepte pas les pull requests : ses fichiers sont synchronisés depuis le monorepo privé de Sazabi, et toute modification directe serait écrasée. Ouvrez plutôt un ticket.

Sources et licences

Données : la CVE List, la GitHub Advisory Database, OSV, la NVD, ENISA EUVD, le catalogue CISA KEV, FIRST EPSS et Exploit-DB. Chaque entrée renvoie vers ses sources.

Les résumés des entrées sont rédigés par un modèle et identifiés comme tels ; ils sont publiés sous licence CC-BY 4.0. Les données en amont conservent leur propre licence et attribution.

Ce produit utilise des données de l’API NVD, mais n’est ni approuvé ni certifié par la NVD.

Le texte de ce dépôt est sous licence Apache 2.0.

---

Vous voulez savoir lesquelles de ces vulnérabilités affectent vos systèmes ? Sazabi peut vous le dire.