cve.now

npx add-mcp 'https://mcp.cve.now/mcp'

cve.now

無料の公開脆弱性フィード。 cve.now は、CVE List、GitHub Advisory Database、OSV、NVD、ENISA's European Vulnerability Database (EUVD)、CISA's Known Exploited Vulnerabilities catalog (KEV)、FIRST EPSS scores、Exploit-DB を統合し、脆弱性ごとに重複のないエントリを作成して、RSS、Atom、JSON Feed、JSON API、MCP サーバーとして公開します。アカウントも API キーも不要です。

このリポジトリは、GitHub 上にある cve.now のホームです。サービスの概要、使い方、問題の報告先を掲載しています。サービスは Sazabi が構築・運用しており、ソースコードは公開されていません。

フィード

エンドポイントは1つ、https://cve.now/feed。自由に組み合わせられるフィルターで絞り込めます。デフォルトは RSS です。format=atom または format=json を追加してください。

フィード	URL
重大: CISA KEV に掲載、対象テクノロジーで CVSS 9 以上、または EPSS スコア 0.1 以上かつ CVSS 7 以上	https://cve.now/feed?filter=critical
新たに追加された CISA Known Exploited Vulnerabilities	https://cve.now/feed?filter=kev
すべてのエントリ	https://cve.now/feed
1つのテクノロジー	https://cve.now/feed?tech=nextjs
1つのパッケージエコシステム	https://cve.now/feed?ecosystem=npm
組み合わせ	https://cve.now/feed?filter=critical&tech=nextjs&format=json
複数の値	https://cve.now/feed?tech=nextjs,react&ecosystem=npm,pypi

filter、tech、ecosystem は、それぞれ1つまたは複数の値を受け取ります。複数の値は、カンマ区切りのリストまたは繰り返し指定で渡せます。エントリは、指定したフィールドごとに条件を満たし、各フィールドでは列挙された値のいずれかに一致する必要があります。フィードで組み合わせられる値は最大16通りです（例: テクノロジー4つ x エコシステム4つ）。MCP サーバーの list_feed も、同じ3つのフィールドをリストとして受け取ります。

エコシステム: npm、pypi、go、maven、crates.io、packagist、rubygems、hex、nuget。

テクノロジー: nextjs、react、node、express、django、flask、rails、spring、log4j、kubernetes、docker、nginx、apache-httpd、openssl、postgresql、mysql、redis、microsoft-sql-server、oracle-database、mariadb、ibm-db2、mongodb、sap-ase、php、wordpress、jenkins、gitlab、fortinet、citrix、ivanti、cisco-ios、palo-alto-panos、vmware、microsoft-exchange、chrome、linux-kernel。足りないものがありますか？リクエストしてください。

Slack では、任意のチャンネルで /feed subscribe https://cve.now/feed?filter=critical を実行してください。

スタックを確認する

cve.now にロックファイルをアップロードすると、共有可能なレポートと、使用中の正確なパッケージバージョンに影響するエントリだけを含む RSS フィードを取得できます。対応形式: package-lock.json、bun.lock、pnpm-lock.yaml、yarn.lock、requirements.txt、poetry.lock、uv.lock、Cargo.lock、go.sum、Gemfile.lock、mix.lock、composer.lock、Pipfile.lock、packages.lock.json (NuGet)、gradle.lockfile、flake.lock (各入力が固定する git commit を通じて OSV で確認。nixpkgs パッケージの CVE は確認対象外)。

短いパッケージリストの場合は、フィード URL を自分で作成できます。

https://cve.now/stack?p=npm:lodash@4.17.20,pypi:django@4.2.0

MCP サーバー

認証不要のリモート Streamable HTTP MCP サーバー: https://mcp.cve.now/mcp。ツール: search、get_vulnerability、list_feed、check_stack。search は、クエリ (q) と構造化パラメーター (severity、kev、exploited、tech、ecosystem、vendor、package、published、type) を受け取り、各結果が一致した理由を示します。一致するものがない場合は、より広いクエリを提案します。

Claude Code

claude mcp add --transport http cve-now https://mcp.cve.now/mcp

Codex

codex mcp add cve-now --url https://mcp.cve.now/mcp

OpenCode (opencode.json)

{
  "$schema": "https://opencode.ai/config.json",
  "mcp": {
    "cve-now": {
      "type": "remote",
      "url": "https://mcp.cve.now/mcp",
      "enabled": true
    }
  }
}

Cursor (.cursor/mcp.json)

{
  "mcpServers": {
    "cve-now": { "url": "https://mcp.cve.now/mcp" }
  }
}

次に、エージェントにプロジェクトのロックファイルに対して check_stack を実行するよう依頼してください。

エージェントに依存関係を自動で確認させるには、プロジェクトの AGENTS.md または CLAUDE.md に以下を追加してください。

## Dependency vulnerabilities

Use the cve.now MCP server (https://mcp.cve.now/mcp, no API key) for vulnerability checks:

- Before adding or upgrading a dependency, and when asked whether this project is affected by a CVE, call `check_stack` with the lockfile's contents (or the packages and exact versions).
- For any CVE, GHSA or OSV id, call `get_vulnerability` to see whether it is in CISA KEV, whether its EPSS score has reached 10% (and when), and the fixed versions.
- No matches means cve.now found none, not that the packages are safe.

API

エンドポイント	返される内容
https://cve.now/<id>	CVE、GHSA、OSV ID のページ
https://cve.now/api/v1/entries/<id>	同じエントリの JSON。最近同期されたエントリは静的コピーにリダイレクトされる場合があるため、リダイレクトに従ってください (curl -L)
https://cve.now/api/v1/entries	公開済みの全エントリ。新しい順で、next_cursor を使ってページ分割
https://cve.now/api/v1/search	q と MCP の search パラメーターによる検索。一致理由、ファセット件数、より広いクエリを返します (llms.txt)
https://cve.now/api/v1/status	ソースのポーリング状況とカタログの網羅状況
https://cve.now/llms.txt	LLM とエージェント向けのプレーンテキストガイド

/feed と /api/v1/* は Access-Control-Allow-Origin: * を送信します。

Issue

以下を報告するには、Issue を作成してください。

• 誤ったエントリ、または欠落しているエントリ
• 統合すべき2つのエントリ、または誤って統合されたエントリ
• 対象にしてほしいテクノロジーやパッケージエコシステム
• 監視してほしい脆弱性情報の公開元
• フィード、ページ、API、MCP サーバーのバグ

上流のレコードに誤りがある場合（例: CVE の説明が誤っている場合）は、そのレコードを管理する CNA またはアドバイザリデータベースをご案内します。

未修正の脆弱性をここに投稿しないでください。 Issue は公開されます。他社製品の脆弱性は、そのベンダーに報告してください。cve.now 自体の脆弱性は security@sazabi.ai に報告してください（SECURITY.md を参照）。

このリポジトリではプルリクエストを受け付けていません。ファイルは Sazabi の非公開モノレポから同期されているため、直接変更しても上書きされます。代わりに Issue を作成してください。

ソースとライセンス

データソース: CVE List、GitHub Advisory Database、OSV、NVD、ENISA EUVD、CISA KEV catalog、FIRST EPSS、Exploit-DB。各エントリにはソースへのリンクがあります。

エントリの要約はモデルが作成し、その旨を明記しています。要約は CC-BY 4.0 の下で公開されています。上流データには、それぞれ独自のライセンスと帰属表示が適用されます。

この製品は NVD API のデータを使用していますが、NVD による推奨または認定を受けていません。

このリポジトリ内のテキストは Apache 2.0 の下でライセンスされています。

---

これらの脆弱性が自分のシステムに影響するか知りたいですか？Sazabi にご相談ください。