CVE Risk Check

npx add-mcp 'https://cve.openkrill.app/mcp'

Perguntas que responde

Faça a triagem de vulnerabilidades de segurança: por ID de CVE (qual a gravidade, se está sendo explorada, qual a probabilidade de exploração) ou para uma lista inteira de dependências (quais 3 pacotes atualizar primeiro e para qual versão).

Pergunte "quão grave é a CVE-2021-44228?", "qual destas CVEs devo corrigir primeiro?", "o que a CISA adicionou à sua lista de exploradas este mês?" ou "quais dependências neste package-lock.json devo corrigir primeiro?".

O CVE Risk Check lê duas fontes públicas gratuitas. O National Vulnerability Database (NVD) fornece a descrição, a pontuação CVSS e a gravidade, a data de publicação, um link para um patch ou aviso do fornecedor quando houver um marcado, e se o catálogo Known Exploited Vulnerabilities (KEV) da CISA lista a CVE, com a data de vencimento e a ação exigida pela CISA. O EPSS da FIRST fornece a probabilidade modelada de a CVE ser explorada nos próximos 30 dias.

Cada CVE recebe uma prioridade: "explorada" quando a CISA a lista, "provável" quando sua pontuação EPSS é 0,1 ou mais, caso contrário "rotineira", ou "desconhecida" quando o EPSS não pôde ser lido. Um lote de até 10 CVEs retorna classificado com as mais urgentes primeiro.

Cada resposta nomeia suas fontes e a data de origem do registro NVD e da pontuação EPSS. O NVD limita solicitações sem chave, então os registros são armazenados em cache por algumas horas; uma alteração recente em uma CVE pode levar esse tempo para aparecer, e quando o NVD pede que este serviço desacelere, a resposta informa isso e quando tentar novamente.

Para uma lista de dependências, passe o texto de um arquivo de bloqueio (package-lock.json, pnpm-lock.yaml, yarn.lock, poetry.lock, uv.lock, Cargo.lock, go.sum ou go.mod), um package.json ou um requirements.txt, ou uma lista de pacotes com versões exatas (npm, PyPI, Go, crates.io, Maven, RubyGems, NuGet ou Packagist). Cada versão de pacote é correspondida aos seus avisos conhecidos no OSV.dev, que coleta o GitHub Advisory Database e outros bancos de dados abertos. Os IDs de CVE dos avisos são então verificados contra a lista de exploradas da CISA e o EPSS. A resposta são os poucos pacotes para corrigir primeiro, cada um com uma prioridade (maliciosa, explorada, provável, rotineira ou desconhecida), uma razão de uma linha e a versão para atualizar, seguida por uma lista curta do restante. A correspondência é por nome e versão exatos: não mostra que seu código alcança o código vulnerável.

Ele não escaneia seus sistemas, não lê seu código-fonte, não confirma que você está vulnerável nem informa como explorar qualquer coisa. Os IDs de CVE e listas de dependências que você envia não são armazenados; o único registro duradouro é uma contagem diária de chamadas por ferramenta.

Perguntas curtas que este servidor responde, cada uma com uma resposta direta: Consulta de Status de Exploração de CVE, EPSS e Prioridade de Patch.

O que ele pode fazer

• Consulta a descrição, a pontuação CVSS e a gravidade, e a data de publicação de uma CVE no NVD
• Mostra se o catálogo Known Exploited Vulnerabilities da CISA lista uma CVE, com sua data de vencimento e ação exigida
• Adiciona a pontuação EPSS: a chance modelada de exploração nos próximos 30 dias
• Atribui a cada CVE uma prioridade: explorada, provável ou rotineira
• Classifica um lote de até 10 CVEs com as mais urgentes primeiro
• Lê um arquivo de bloqueio npm, pnpm, yarn, Poetry, uv, Cargo ou Go e nomeia os 3 pacotes para atualizar primeiro, com a correção
• Corresponde versões de pacotes a avisos do OSV.dev em 8 ecossistemas, incluindo npm, PyPI, Go, Maven e crates.io
• Lista CVEs adicionadas recentemente à lista de exploradas da CISA, opcionalmente filtradas por uma palavra de produto
• Vincula um patch ou aviso do fornecedor quando o NVD marca um, e nomeia suas fontes e datas

Ferramentas

• check_cve, Verifique uma CVE. Use isto quando o usuário perguntar quão séria é uma CVE, como "quão grave é a CVE-2021-44228?". Passe o ID da CVE. Retorna uma prioridade (explorada, provável, rotineira ou desconhecida), a descrição, a pontuação CVSS e a gravidade, se o catálogo Known Exploited Vulnerabilities da CISA a lista, a probabilidade de exploração EPSS, um link de patch ou aviso quando marcado, e as datas as_of. Uma consulta por ID de CVE: não sabe qual software o usuário executa nem se ele é afetado.
• check_cves, Classifique várias CVEs. Use isto quando o usuário tiver uma lista de IDs de CVE e quiser saber qual tratar primeiro, como "qual destas CVEs devo corrigir primeiro?". Passe até 10 IDs de CVE. Retorna a prioridade de cada uma, a pontuação CVSS, o status na lista de exploradas da CISA e a pontuação EPSS, das mais urgentes primeiro, com uma contagem por prioridade. Um ID que o NVD não pôde consultar nesta chamada é marcado como adiado; peça novamente mais tarde. Não sabe qual software o usuário executa.
• list_recent_kev, Liste CVEs exploradas recentemente. Use isto quando o usuário perguntar o que a CISA adicionou recentemente à sua lista Known Exploited Vulnerabilities, como "quais CVEs exploradas foram adicionadas este mês?". Opcionalmente, passe quantos dias para trás (até 90), uma palavra de produto para filtrar e um limite. Retorna cada CVE com seu nome da CISA, a data em que foi adicionada, a data de vencimento da CISA e sua pontuação CVSS, das mais novas primeiro. O catálogo lista vulnerabilidades com evidência de exploração; não é uma lista de toda CVE séria.
• triage_dependencies, Faça a triagem de vulnerabilidades de dependências. Use isto quando o usuário quiser saber quais dependências vulneráveis corrigir primeiro, como "quais dependências neste package-lock.json devo atualizar primeiro?" ou "faça a triagem do meu requirements.txt". Passe o texto de um arquivo de bloqueio (package-lock.json, pnpm-lock.yaml, yarn.lock, poetry.lock, uv.lock, Cargo.lock, go.sum ou go.mod), um package.json ou um requirements.txt como manifesto, ou uma lista de pacotes com ecossistema, nome e versão exata (npm, pypi, go, crates.io, maven, rubygems, nuget, packagist); apenas nomes e versões são lidos. Retorna fix_first: por padrão, os 3 pacotes para atualizar primeiro, cada um com uma prioridade (maliciosa, explorada, provável, rotineira ou desconhecida), uma linha sobre o motivo, os IDs de CVE e a versão que corrige, depois uma lista curta dos outros pacotes vulneráveis e uma contagem por prioridade. Corresponde versões exatas de pacotes a avisos conhecidos; não escaneia código nem mostra que o código vulnerável é alcançado.

Adicione o CVE Risk Check no Claude

O Claude se conecta a um servidor MCP remoto como um conector personalizado. A conexão é feita a partir da nuvem da Anthropic, não do seu laptop, então o servidor deve estar na internet pública. O CVE Risk Check está. Estas etapas foram verificadas em relação ao artigo de conector personalizado do Claude (atualizado em 2026-08-11) e à documentação MCP do Claude Code em 2026-10-01.

Em um plano Pro ou Max:

1. Abra Personalizar, depois Conectores.
2. Selecione o botão de adição e depois Adicionar conector personalizado.
3. Cole https://cve.openkrill.app/mcp. Deixe as Configurações avançadas vazias: este servidor não precisa de um ID de cliente ou segredo OAuth.
4. Selecione Adicionar. O conector é seu. A Anthropic não o revisou e não é uma listagem do Diretório.
5. Em uma conversa, abra o botão de adição, depois Conectores, e habilite o CVE Risk Check. Pergunte: Quão grave é a CVE-2021-44228?

Em Team e Enterprise, um Proprietário adiciona o conector primeiro em Configurações da organização, depois Conectores, depois Adicionar, depois Personalizado, depois Web, e cola a mesma URL. Os membros então o conectam em Personalizar. Um plano Free pode adicionar um conector personalizado.

No Claude Code, adicione-o a partir do diretório do projeto:

claude mcp add --transport http cve https://cve.openkrill.app/mcp

Isso grava uma configuração local ou de usuário. Uma entrada JSON precisa de "type": "http" (ou streamable-http) além da url. Uma entrada com url e sem tipo é ignorada. Confirme com claude mcp get cve. As ferramentas que você deve ver são check_cve, check_cves, list_recent_kev, triage_dependencies.

Se o Claude tentar buscar https://cve.openkrill.app/mcp a partir de seu sandbox de código e relatar HTTP 403, o bloqueio é a lista de permissões de rede do sandbox do Claude, não este servidor. O proxy do sandbox responde 403 com x-deny-reason: host_not_allowed para todo host fora da lista de permissões. Use o conector acima: chamadas de conector vêm da nuvem da Anthropic e não passam pelo proxy do sandbox. Para permitir que o sandbox também o alcance, um Proprietário adiciona cve.openkrill.app em Configurações, depois Capacidades, depois Domínios adicionais permitidos.

Habilite o conector apenas em conversas que precisem dele. O Claude pode chamar as ferramentas enquanto você trabalha, inclusive durante pesquisa, então desative qualquer ferramenta que você não queira invocada. O CVE Risk Check não grava em suas contas. Ele ainda recebe os argumentos de cada chamada. Leia a página de privacidade antes de colar qualquer coisa que não seja pública.

Se não funcionar

A ferramenta não aparece

No Claude, habilite o conector na conversa pelo botão de adição, depois Conectores. No Claude Code, execute claude mcp list no mesmo diretório em que você o adicionou e depois inicie uma nova sessão: uma sessão em execução não carrega um novo servidor.

429 ou rate_limited

Cada servidor aceita 60 chamadas por minuto de uma rede, e algumas ferramentas aceitam menos. Além disso, a chamada retorna como um erro de ferramenta que começa com rate_limited: espere um minuto e pergunte novamente. daily_limit significa que o servidor atingiu seu limite diário compartilhado, que é redefinido às 00:00 UTC. Um limite não é uma resposta, então não o leia como ausência de resultados. Para limites maiores, peça uma chave a support@openkrill.app.

Entrada JSON sem tipo

O Claude Code ignora uma entrada em .mcp.json que tenha uma url mas nenhum tipo. Adicione "type": "http" ao lado da url, ou adicione o servidor com claude mcp add --transport http, que grava o tipo para você. A entrada do VS Code precisa do mesmo campo de tipo. Cursor e Pi leem apenas a url.

Uma chamada verificada em 2026-10-11

A CVE-2021-44228 é Log4Shell, listada pela CISA, então prioridade, CVSS e KEV podem ser verificados contra o registro público. A solicitação abaixo foi postada em https://cve.openkrill.app/mcp como tools/call. HTTP 200. Fonte: o servidor CVE Risk Check, lido em 2026-10-11.

{
  "method": "tools/call",
  "params": {
    "name": "check_cve",
    "arguments": {
      "cve": "CVE-2021-44228"
    }
  }
}

• status. ok
• priority. explorada
• cve. CVE-2021-44228
• source. NVD (nvd.nist.gov, inclui o sinalizador Known Exploited Vulnerabilities da CISA) e FIRST EPSS (first.org)
• notice. Prioridade é uma dica de triagem, não uma classificação de risco: explorada significa que a CISA a lista como explorada na natureza, provável significa uma pontuação EPSS de 0,1 ou mais, rotineira é qualquer coisa menor. Para verificar se uma versão de pacote é afetada,
• kev name. Vulnerabilidade de Execução Remota de Código Apache Log4j2

Repita a chamada você mesmo se precisar de uma leitura mais recente. Respostas em cache expiram. Um limite de taxa não é um resultado: espere e tente novamente. Nada na chamada é uma classificação, um arquivamento ou um conselho.

Usando em produção

Nada para instalar e nada para executar: nenhum pacote, nenhuma versão de Python ou Node.js e nenhuma variável de ambiente. O CVE Risk Check é executado em nossos servidores, e seu cliente só precisa da URL https://cve.openkrill.app/mcp.

Limite de taxa	60 chamadas de ferramenta por minuto de uma rede. initialize e tools/list não contam.
Limite diário	5000 chamadas de ferramenta por dia por servidor, compartilhado por todos os chamadores. É redefinido às 00:00 UTC.
No limite	A chamada retorna como um erro de ferramenta que começa com rate_limited (espere um minuto) ou daily_limit (tente após 00:00 UTC), nunca como uma resposta parcial.
Chave	Nenhuma. Não adicione um cabeçalho Authorization ou um campo de chave.
Limites maiores	Envie um e-mail para support@openkrill.app com o nome do servidor, as chamadas por dia que você espera e para que servem. Respondemos em 1 dia útil.
Atualização	Algumas respostas vêm de um cache curto. Cada guia mostra a data de sua chamada verificada; repita uma chamada quando precisar de uma leitura mais recente.
Disponibilidade	Chamadas de teste agendadas verificam os servidores pelo mesmo endpoint. Ainda não há SLA.
Dados	O que cada servidor recebe e mantém está na página de privacidade.

Use em outros aplicativos

• CVE Risk Check no ChatGPT
• CVE Risk Check no Cursor
• CVE Risk Check no VS Code
• CVE Risk Check no Pi

Funções que usam o CVE Risk Check

• Guia do engenheiro de segurança
• Guia do desenvolvedor de software

Perguntas frequentes

Como instalo o servidor MCP CVE Risk Check no Claude? In Claude, abra Customize, depois Connectors, escolha Add custom connector e cole https://cve.openkrill.app/mcp. No Claude Code, execute claude mcp add --transport http cve https://cve.openkrill.app/mcp. Não é necessário reiniciar para nenhum dos dois.

Preciso de uma chave de API para executar o CVE Risk Check no Claude?

Não. Este servidor não exige chave de API. Para limites maiores, envie um e-mail para support@openkrill.app com o nome do servidor (CVE Risk Check), as chamadas por dia que você espera e para que servem. Respondemos em até 1 dia útil.

O que devo fazer se o CVE Risk Check não conectar no Claude?

Verifique se a URL do conector termina em /mcp e se as configurações avançadas estão vazias. No Claude Code, execute claude mcp get cve; uma entrada JSON com uma url mas sem type é ignorada, então adicione type http.