cve.now

npx add-mcp 'https://mcp.cve.now/mcp'

cve.now

Бесплатная общедоступная лента уязвимостей. cve.now объединяет CVE List, GitHub Advisory Database, OSV, NVD, European Vulnerability Database (EUVD) от ENISA, каталог известных эксплуатируемых уязвимостей CISA (KEV), оценки FIRST EPSS и Exploit-DB в одну дедуплицированную запись на каждую уязвимость и публикует её в форматах RSS, Atom, JSON Feed, через JSON API и MCP-сервер. Без учётной записи и ключа API.

Этот репозиторий — дом cve.now на GitHub: здесь описано, что это за сервис, как им пользоваться и куда сообщать о проблемах. Сервис создаёт и поддерживает Sazabi; его исходный код закрыт.

Ленты

Одна конечная точка, https://cve.now/feed, с произвольно сочетаемыми фильтрами. По умолчанию используется RSS; добавьте format=atom или format=json.

Лента	URL
Критические: в CISA KEV, CVSS 9+ для указанной технологии или CVSS 7+ при оценке EPSS не ниже 0.1	https://cve.now/feed?filter=critical
Новые известные эксплуатируемые уязвимости CISA	https://cve.now/feed?filter=kev
Все записи	https://cve.now/feed
Одна технология	https://cve.now/feed?tech=nextjs
Одна экосистема пакетов	https://cve.now/feed?ecosystem=npm
Комбинация	https://cve.now/feed?filter=critical&tech=nextjs&format=json
Несколько значений	https://cve.now/feed?tech=nextjs,react&ecosystem=npm,pypi

filter, tech и ecosystem принимают одно или несколько значений — списком через запятую или повторяющимися параметрами. Запись должна соответствовать любому из указанных значений поля и каждому заданному полю. Лента поддерживает не более 16 комбинаций значений (например, 4 технологии x 4 экосистемы). В MCP-сервере list_feed принимает те же три поля в виде списков.

Экосистемы: npm, pypi, go, maven, crates.io, packagist, rubygems, hex, nuget.

Технологии: nextjs, react, node, express, django, flask, rails, spring, log4j, kubernetes, docker, nginx, apache-httpd, openssl, postgresql, mysql, redis, microsoft-sql-server, oracle-database, mariadb, ibm-db2, mongodb, sap-ase, php, wordpress, jenkins, gitlab, fortinet, citrix, ivanti, cisco-ios, palo-alto-panos, vmware, microsoft-exchange, chrome, linux-kernel. Не хватает чего-то? Запросите это.

В Slack выполните /feed subscribe https://cve.now/feed?filter=critical в любом канале.

Проверьте свой стек

Загрузите файл блокировки на cve.now, чтобы получить отчёт, которым можно поделиться, и RSS-ленту только с записями, затрагивающими именно ваши версии пакетов. Поддерживаются: package-lock.json, bun.lock, pnpm-lock.yaml, yarn.lock, requirements.txt, poetry.lock, uv.lock, Cargo.lock, go.sum, Gemfile.lock, mix.lock, composer.lock, Pipfile.lock, packages.lock.json (NuGet), gradle.lockfile, flake.lock (проверяются по коммиту git, на который ссылается каждый входной файл, через OSV; CVE пакетов nixpkgs не проверяются).

Для короткого списка пакетов создайте URL ленты самостоятельно:

https://cve.now/stack?p=npm:lodash@4.17.20,pypi:django@4.2.0

MCP-сервер

Удалённый MCP-сервер Streamable HTTP по адресу https://mcp.cve.now/mcp, без аутентификации. Инструменты: search, get_vulnerability, list_feed и check_stack. search принимает запрос (q) и структурированные параметры (severity, kev, exploited, tech, ecosystem, vendor, package, published, type), объясняет, почему найден каждый результат, и предлагает расширить запрос, если совпадений нет.

Claude Code

claude mcp add --transport http cve-now https://mcp.cve.now/mcp

Codex

codex mcp add cve-now --url https://mcp.cve.now/mcp

OpenCode (opencode.json)

{
  "$schema": "https://opencode.ai/config.json",
  "mcp": {
    "cve-now": {
      "type": "remote",
      "url": "https://mcp.cve.now/mcp",
      "enabled": true
    }
  }
}

Cursor (.cursor/mcp.json)

{
  "mcpServers": {
    "cve-now": { "url": "https://mcp.cve.now/mcp" }
  }
}

Затем попросите своего агента выполнить check_stack для файла блокировки проекта.

Чтобы агент самостоятельно проверял зависимости, добавьте это в AGENTS.md или CLAUDE.md вашего проекта:

## Dependency vulnerabilities

Use the cve.now MCP server (https://mcp.cve.now/mcp, no API key) for vulnerability checks:

- Before adding or upgrading a dependency, and when asked whether this project is affected by a CVE, call `check_stack` with the lockfile's contents (or the packages and exact versions).
- For any CVE, GHSA or OSV id, call `get_vulnerability` to see whether it is in CISA KEV, whether its EPSS score has reached 10% (and when), and the fixed versions.
- No matches means cve.now found none, not that the packages are safe.

API

Конечная точка	Возвращает
https://cve.now/<id>	Страница для идентификатора CVE, GHSA или OSV
https://cve.now/api/v1/entries/<id>	Та же запись в формате JSON; недавно синхронизированная запись может перенаправлять на статическую копию, поэтому следуйте перенаправлениям (curl -L)
https://cve.now/api/v1/entries	Все опубликованные записи, сначала новые, с постраничной разбивкой через next_cursor
https://cve.now/api/v1/search	Поиск по q и параметрам MCP search, с причинами совпадений, подсчётом фасетов и более широкими запросами (llms.txt)
https://cve.now/api/v1/status	Состояние опроса источников и охват каталогов
https://cve.now/llms.txt	Руководство в виде обычного текста для LLM и агентов

/feed и /api/v1/* отправляют Access-Control-Allow-Origin: *.

Проблемы

Создайте issue, чтобы сообщить о следующем:

• неверная или отсутствующая запись
• две записи, которые следует объединить, или запись, в которой объединено лишнее
• технология или экосистема пакетов, которую вы хотите добавить
• источник сведений об уязвимостях, за которым следует следить
• ошибка в ленте, на странице, в API или MCP-сервере

Если ошибка находится в исходной записи (например, неверное описание CVE), мы направим вас к CNA или базе данных рекомендаций, отвечающей за неё.

Не публикуйте здесь сведения об уязвимостях, для которых ещё нет исправления. Issues общедоступны. Об уязвимости в чужом продукте сообщите его поставщику. Об уязвимости в самом cve.now сообщите по адресу security@sazabi.ai (см. SECURITY.md).

Этот репозиторий не принимает pull request: его файлы синхронизируются из закрытого монорепозитория Sazabi, поэтому прямые изменения будут перезаписаны. Вместо этого создайте issue.

Источники и лицензирование

Данные: CVE List, GitHub Advisory Database, OSV, NVD, ENISA EUVD, каталог CISA KEV, FIRST EPSS и Exploit-DB. В каждой записи есть ссылки на источники.

Краткие описания записей создаются моделью и помечаются соответствующим образом; они публикуются по лицензии CC-BY 4.0. Для исходных данных сохраняются их собственные лицензии и атрибуция.

Этот продукт использует данные API NVD, но не одобрен и не сертифицирован NVD.

Текст в этом репозитории распространяется по лицензии Apache 2.0.

---

Хотите узнать, какие из этих уязвимостей затрагивают ваши системы? Sazabi поможет.