cve.now

npx add-mcp 'https://mcp.cve.now/mcp'

cve.now

ฟีดช่องโหว่สาธารณะฟรี cve.now รวม CVE List, GitHub Advisory Database, OSV, NVD, European Vulnerability Database (EUVD) ของ ENISA, แค็ตตาล็อก Known Exploited Vulnerabilities (KEV) ของ CISA, คะแนน EPSS ของ FIRST และ Exploit-DB ให้เป็นรายการเดียวที่ไม่ซ้ำกันต่อช่องโหว่ แล้วเผยแพร่ในรูปแบบ RSS, Atom, JSON Feed, JSON API และ MCP server ไม่ต้องมีบัญชีหรือ API key

ที่เก็บนี้คือหน้าแรกของ cve.now บน GitHub: อธิบายว่าคืออะไร วิธีใช้งาน และแจ้งปัญหาได้ที่ไหน บริการนี้สร้างและดูแลโดย Sazabi; ซอร์สโค้ดไม่เปิดเผยต่อสาธารณะ

ฟีด

ใช้ endpoint เดียว https://cve.now/feed แล้วปรับขอบเขตด้วยตัวกรองที่ใช้ร่วมกันได้อย่างอิสระ ค่าเริ่มต้นเป็น RSS; เพิ่ม format=atom หรือ format=json เพื่อเปลี่ยนรูปแบบ

ฟีด	URL
ระดับวิกฤต: อยู่ใน CISA KEV, มี CVSS 9+ ในเทคโนโลยีที่ระบุ หรือมี CVSS 7+ และคะแนน EPSS ตั้งแต่ 0.1 ขึ้นไป	https://cve.now/feed?filter=critical
ช่องโหว่ที่ถูกใช้โจมตีซึ่งเพิ่มใหม่ใน CISA Known Exploited Vulnerabilities	https://cve.now/feed?filter=kev
ทุกรายการ	https://cve.now/feed
เทคโนโลยีหนึ่งรายการ	https://cve.now/feed?tech=nextjs
ระบบนิเวศแพ็กเกจหนึ่งรายการ	https://cve.now/feed?ecosystem=npm
แบบผสม	https://cve.now/feed?filter=critical&tech=nextjs&format=json
หลายค่า	https://cve.now/feed?tech=nextjs,react&ecosystem=npm,pypi

filter, tech และ ecosystem รับค่าเดียวหรือหลายค่า โดยคั่นด้วยจุลภาคหรือระบุซ้ำ รายการต้องตรงกับค่าใดค่าหนึ่งที่ระบุไว้ในแต่ละฟิลด์ และต้องตรงกับทุกฟิลด์ที่กำหนด ฟีดหนึ่งรายการรวมชุดค่าผสมได้ไม่เกิน 16 ชุด (เช่น 4 เทคโนโลยี x 4 ระบบนิเวศ) list_feed ใน MCP server รับฟิลด์ทั้งสามรายการเดียวกันในรูปแบบลิสต์

ระบบนิเวศ: npm, pypi, go, maven, crates.io, packagist, rubygems, hex, nuget.

เทคโนโลยี: nextjs, react, node, express, django, flask, rails, spring, log4j, kubernetes, docker, nginx, apache-httpd, openssl, postgresql, mysql, redis, microsoft-sql-server, oracle-database, mariadb, ibm-db2, mongodb, sap-ase, php, wordpress, jenkins, gitlab, fortinet, citrix, ivanti, cisco-ios, palo-alto-panos, vmware, microsoft-exchange, chrome, linux-kernel. ขาดรายการใดไปหรือไม่? ขอเพิ่มได้ที่นี่.

ใน Slack ให้เรียกใช้ /feed subscribe https://cve.now/feed?filter=critical ในช่องใดก็ได้

ตรวจสอบสแตกของคุณ

อัปโหลดไฟล์ lockfile ที่ cve.now เพื่อรับรายงานที่แชร์ได้และฟีด RSS ที่มีเฉพาะรายการซึ่งส่งผลต่อเวอร์ชันแพ็กเกจที่คุณใช้อยู่ รองรับ: package-lock.json, bun.lock, pnpm-lock.yaml, yarn.lock, requirements.txt, poetry.lock, uv.lock, Cargo.lock, go.sum, Gemfile.lock, mix.lock, composer.lock, Pipfile.lock, packages.lock.json (NuGet), gradle.lockfile, flake.lock (ตรวจสอบตาม git commit ที่แต่ละอินพุตระบุไว้ผ่าน OSV; ไม่มีการตรวจสอบ CVE ของแพ็กเกจ nixpkgs)

หากมีรายการแพ็กเกจสั้น ๆ ให้สร้าง URL ฟีดด้วยตนเอง:

https://cve.now/stack?p=npm:lodash@4.17.20,pypi:django@4.2.0

MCP server

MCP server แบบ Streamable HTTP ระยะไกลที่ https://mcp.cve.now/mcp ไม่ต้องยืนยันตัวตน เครื่องมือ: search, get_vulnerability, list_feed และ check_stack. search รับคำค้นหา (q) และพารามิเตอร์แบบมีโครงสร้าง (severity, kev, exploited, tech, ecosystem, vendor, package, published, type) อธิบายเหตุผลที่ผลลัพธ์แต่ละรายการตรงกัน และแนะนำคำค้นหาที่กว้างขึ้นเมื่อไม่พบผลลัพธ์

Claude Code

claude mcp add --transport http cve-now https://mcp.cve.now/mcp

Codex

codex mcp add cve-now --url https://mcp.cve.now/mcp

OpenCode (opencode.json)

{
  "$schema": "https://opencode.ai/config.json",
  "mcp": {
    "cve-now": {
      "type": "remote",
      "url": "https://mcp.cve.now/mcp",
      "enabled": true
    }
  }
}

Cursor (.cursor/mcp.json)

{
  "mcpServers": {
    "cve-now": { "url": "https://mcp.cve.now/mcp" }
  }
}

จากนั้นขอให้ agent เรียกใช้ check_stack กับ lockfile ของโปรเจกต์

หากต้องการให้ agent ตรวจสอบ dependencies ด้วยตนเอง ให้เพิ่มข้อความนี้ใน AGENTS.md หรือ CLAUDE.md ของโปรเจกต์:

## Dependency vulnerabilities

Use the cve.now MCP server (https://mcp.cve.now/mcp, no API key) for vulnerability checks:

- Before adding or upgrading a dependency, and when asked whether this project is affected by a CVE, call `check_stack` with the lockfile's contents (or the packages and exact versions).
- For any CVE, GHSA or OSV id, call `get_vulnerability` to see whether it is in CISA KEV, whether its EPSS score has reached 10% (and when), and the fixed versions.
- No matches means cve.now found none, not that the packages are safe.

API

Endpoint	ส่งคืน
https://cve.now/<id>	หน้าเว็บสำหรับ CVE, GHSA หรือ OSV id
https://cve.now/api/v1/entries/<id>	รายการเดียวกันในรูปแบบ JSON; รายการที่ซิงก์เมื่อไม่นานมานี้อาจเปลี่ยนเส้นทางไปยังสำเนาแบบสแตติก ดังนั้นให้ติดตามการเปลี่ยนเส้นทาง (curl -L)
https://cve.now/api/v1/entries	รายการที่เผยแพร่ทั้งหมด เรียงจากใหม่ไปเก่า แบ่งหน้าโดยใช้ next_cursor
https://cve.now/api/v1/search	ค้นหาด้วย q และพารามิเตอร์ MCP search พร้อมเหตุผลที่ตรงกัน จำนวนรายการในแต่ละ facet และคำค้นหาที่กว้างขึ้น (llms.txt)
https://cve.now/api/v1/status	สถานะการดึงข้อมูลจากแหล่งที่มาและความครอบคลุมของแค็ตตาล็อก
https://cve.now/llms.txt	คู่มือข้อความธรรมดาสำหรับ LLM และ agent

/feed และ /api/v1/* ส่ง Access-Control-Allow-Origin: *.

Issues

เปิด issue เพื่อรายงาน:

• รายการที่ไม่ถูกต้องหรือขาดหายไป
• รายการสองรายการที่ควรรวมกัน หรือรายการเดียวที่รวมข้อมูลซึ่งไม่ควรรวม
• เทคโนโลยีหรือระบบนิเวศแพ็กเกจที่ต้องการให้ครอบคลุม
• แหล่งเผยแพร่ข้อมูลช่องโหว่ที่เราควรติดตาม
• บั๊กในฟีด หน้าเว็บ API หรือ MCP server

หากพบข้อผิดพลาดในระเบียนต้นทาง (เช่น คำอธิบาย CVE ไม่ถูกต้อง) เราจะแนะนำให้ติดต่อ CNA หรือฐานข้อมูลคำแนะนำด้านความปลอดภัยที่เป็นเจ้าของข้อมูลนั้น

อย่าโพสต์ช่องโหว่ที่ยังไม่มีแพตช์ที่นี่ Issues เป็นสาธารณะ หากพบช่องโหว่ในผลิตภัณฑ์ของผู้อื่น ให้รายงานต่อผู้จำหน่าย หากพบช่องโหว่ใน cve.now เอง ให้รายงานที่ security@sazabi.ai (ดู SECURITY.md)

ที่เก็บนี้ไม่รับ pull request: ไฟล์ต่าง ๆ ซิงก์มาจาก monorepo ส่วนตัวของ Sazabi ดังนั้นการแก้ไขโดยตรงจะถูกเขียนทับ โปรดเปิด issue แทน

แหล่งข้อมูลและสัญญาอนุญาต

ข้อมูลจาก CVE List, GitHub Advisory Database, OSV, NVD, ENISA EUVD, แค็ตตาล็อก CISA KEV, FIRST EPSS และ Exploit-DB แต่ละรายการมีลิงก์ไปยังแหล่งข้อมูลของตน

สรุปรายการเขียนโดยโมเดลและระบุไว้ชัดเจนว่าเป็นเนื้อหาที่สร้างโดยโมเดล โดยเผยแพร่ภายใต้ CC-BY 4.0 ข้อมูลต้นทางยังคงใช้สัญญาอนุญาตและการระบุแหล่งที่มาของตนเอง

ผลิตภัณฑ์นี้ใช้ข้อมูลจาก NVD API แต่ไม่ได้รับการรับรองหรือสนับสนุนจาก NVD

ข้อความในที่เก็บนี้ใช้สัญญาอนุญาต Apache 2.0

---

อยากทราบว่ารายการเหล่านี้ส่งผลต่อระบบของคุณหรือไม่? Sazabi ช่วยบอกคุณได้