cve.now

npx add-mcp 'https://mcp.cve.now/mcp'

cve.now

Um feed público e gratuito de vulnerabilidades. cve.now combina a CVE List, o GitHub Advisory Database, o OSV, o NVD, o European Vulnerability Database (EUVD) da ENISA, o catálogo Known Exploited Vulnerabilities (KEV) da CISA, as pontuações EPSS da FIRST e o Exploit-DB em uma única entrada deduplicada por vulnerabilidade, e a publica como RSS, Atom, JSON Feed, uma API JSON e um servidor MCP. Sem conta, sem chave de API.

Este repositório é a página do cve.now no GitHub: o que é, como usar e onde relatar problemas. O serviço é desenvolvido e operado pela Sazabi; seu código-fonte não é público.

Feeds

Um endpoint, https://cve.now/feed, refinado com filtros que podem ser combinados livremente. RSS por padrão; adicione format=atom ou format=json.

Feed	URL
Críticas: no CISA KEV, CVSS 9+ em uma tecnologia listada ou CVSS 7+ com pontuação EPSS de 0.1 ou mais	https://cve.now/feed?filter=critical
Novas vulnerabilidades exploradas conhecidas da CISA	https://cve.now/feed?filter=kev
Todas as entradas	https://cve.now/feed
Uma tecnologia	https://cve.now/feed?tech=nextjs
Um ecossistema de pacotes	https://cve.now/feed?ecosystem=npm
Combinado	https://cve.now/feed?filter=critical&tech=nextjs&format=json
Vários valores	https://cve.now/feed?tech=nextjs,react&ecosystem=npm,pypi

filter, tech e ecosystem aceitam um ou vários valores, como uma lista separada por vírgulas ou repetidos. Uma entrada deve corresponder a qualquer valor listado de um campo e a todos os campos informados. Um feed combina no máximo 16 combinações de valores (por exemplo, 4 tecnologias x 4 ecossistemas). list_feed no servidor MCP aceita os mesmos três campos como listas.

Ecossistemas: npm, pypi, go, maven, crates.io, packagist, rubygems, hex, nuget.

Tecnologias: nextjs, react, node, express, django, flask, rails, spring, log4j, kubernetes, docker, nginx, apache-httpd, openssl, postgresql, mysql, redis, microsoft-sql-server, oracle-database, mariadb, ibm-db2, mongodb, sap-ase, php, wordpress, jenkins, gitlab, fortinet, citrix, ivanti, cisco-ios, palo-alto-panos, vmware, microsoft-exchange, chrome, linux-kernel. Está faltando algum? Solicite-o.

No Slack, execute /feed subscribe https://cve.now/feed?filter=critical em qualquer canal.

Verifique sua stack

Envie um arquivo de lock para cve.now para obter um relatório compartilhável e um feed RSS apenas com as entradas que afetam as versões exatas dos seus pacotes. Compatíveis: package-lock.json, bun.lock, pnpm-lock.yaml, yarn.lock, requirements.txt, poetry.lock, uv.lock, Cargo.lock, go.sum, Gemfile.lock, mix.lock, composer.lock, Pipfile.lock, packages.lock.json (NuGet), gradle.lockfile, flake.lock (verificado pelo commit git fixado por cada entrada, via OSV; CVEs de pacotes nixpkgs não são verificados).

Para uma lista curta de pacotes, monte você mesmo a URL do feed:

https://cve.now/stack?p=npm:lodash@4.17.20,pypi:django@4.2.0

Servidor MCP

Um servidor MCP remoto Streamable HTTP em https://mcp.cve.now/mcp, sem autenticação. Ferramentas: search, get_vulnerability, list_feed e check_stack. search recebe uma consulta (q) e parâmetros estruturados (severity, kev, exploited, tech, ecosystem, vendor, package, published, type), explica por que cada resultado correspondeu e sugere consultas mais abrangentes quando nada corresponde.

Claude Code

claude mcp add --transport http cve-now https://mcp.cve.now/mcp

Codex

codex mcp add cve-now --url https://mcp.cve.now/mcp

OpenCode (opencode.json)

{
  "$schema": "https://opencode.ai/config.json",
  "mcp": {
    "cve-now": {
      "type": "remote",
      "url": "https://mcp.cve.now/mcp",
      "enabled": true
    }
  }
}

Cursor (.cursor/mcp.json)

{
  "mcpServers": {
    "cve-now": { "url": "https://mcp.cve.now/mcp" }
  }
}

Em seguida, peça ao seu agente para executar check_stack no arquivo de lock do seu projeto.

Para que seu agente verifique as dependências por conta própria, adicione isto ao AGENTS.md ou ao CLAUDE.md do seu projeto:

## Dependency vulnerabilities

Use the cve.now MCP server (https://mcp.cve.now/mcp, no API key) for vulnerability checks:

- Before adding or upgrading a dependency, and when asked whether this project is affected by a CVE, call `check_stack` with the lockfile's contents (or the packages and exact versions).
- For any CVE, GHSA or OSV id, call `get_vulnerability` to see whether it is in CISA KEV, whether its EPSS score has reached 10% (and when), and the fixed versions.
- No matches means cve.now found none, not that the packages are safe.

API

Endpoint	Retorna
https://cve.now/<id>	Página de um CVE, GHSA ou ID OSV
https://cve.now/api/v1/entries/<id>	A mesma entrada em JSON; uma entrada sincronizada recentemente pode redirecionar para uma cópia estática, então siga os redirecionamentos (curl -L)
https://cve.now/api/v1/entries	Todas as entradas publicadas, da mais recente para a mais antiga, paginadas com next_cursor
https://cve.now/api/v1/search	Busca por q e pelos parâmetros MCP search, com motivos de correspondência, contagens de facetas e consultas mais abrangentes (llms.txt)
https://cve.now/api/v1/status	Saúde da consulta às fontes e cobertura do catálogo
https://cve.now/llms.txt	Um guia em texto simples para LLMs e agentes

/feed e /api/v1/* enviam Access-Control-Allow-Origin: *.

Problemas

Abra uma issue para relatar:

• uma entrada incorreta ou ausente
• duas entradas que deveriam ser mescladas ou uma entrada que mesclou itens que não deveria
• uma tecnologia ou um ecossistema de pacotes que você gostaria que fosse coberto
• uma fonte de divulgação que deveríamos monitorar
• um bug em um feed, página, na API ou no servidor MCP

Para um erro em um registro upstream (por exemplo, uma descrição de CVE incorreta), vamos indicar a CNA ou o banco de dados de avisos responsável por ele.

Não publique aqui vulnerabilidades sem correção. As issues são públicas. Relate uma vulnerabilidade em um produto de terceiros ao fornecedor. Relate uma vulnerabilidade no próprio cve.now para security@sazabi.ai (consulte SECURITY.md).

Este repositório não aceita pull requests: seus arquivos são sincronizados a partir do monorepo privado da Sazabi, então uma alteração direta seria sobrescrita. Abra uma issue.

Fontes e licenciamento

Dados: a CVE List, o GitHub Advisory Database, o OSV, o NVD, o ENISA EUVD, o catálogo CISA KEV, o FIRST EPSS e o Exploit-DB. Cada entrada contém links para suas fontes.

Os resumos das entradas são escritos por um modelo e identificados como tal; são publicados sob a licença CC-BY 4.0. Os dados upstream mantêm suas próprias licenças e atribuições.

Este produto usa dados da API do NVD, mas não é endossado nem certificado pelo NVD.

O texto deste repositório está licenciado sob Apache 2.0.

---

Quer saber quais dessas vulnerabilidades afetam seus sistemas? A Sazabi pode informar.