cve.now

npx add-mcp 'https://mcp.cve.now/mcp'

cve.now

Nguồn cấp dữ liệu lỗ hổng công khai, miễn phí. cve.now hợp nhất CVE List, GitHub Advisory Database, OSV, NVD, Cơ sở dữ liệu lỗ hổng châu Âu (EUVD) của ENISA, danh mục Lỗ hổng đã bị khai thác đã biết (KEV) của CISA, điểm EPSS của FIRST và Exploit-DB thành một mục đã loại trùng cho mỗi lỗ hổng, rồi xuất bản dưới dạng RSS, Atom, JSON Feed, API JSON và máy chủ MCP. Không cần tài khoản hay khóa API.

Kho lưu trữ này là trang chủ của cve.now trên GitHub: giới thiệu dịch vụ, cách sử dụng và nơi báo cáo sự cố. Dịch vụ do Sazabi xây dựng và vận hành; mã nguồn không được công khai.

Nguồn cấp dữ liệu

Một điểm cuối, https://cve.now/feed, có thể thu hẹp bằng các bộ lọc kết hợp tự do. Mặc định là RSS; thêm format=atom hoặc format=json.

Nguồn cấp dữ liệu	URL
Nghiêm trọng: thuộc CISA KEV, CVSS từ 9 trở lên trong một công nghệ được liệt kê, hoặc CVSS từ 7 trở lên với điểm EPSS từ 0.1 trở lên	https://cve.now/feed?filter=critical
Lỗ hổng mới được thêm vào CISA Known Exploited Vulnerabilities	https://cve.now/feed?filter=kev
Tất cả mục	https://cve.now/feed
Một công nghệ	https://cve.now/feed?tech=nextjs
Một hệ sinh thái gói	https://cve.now/feed?ecosystem=npm
Kết hợp	https://cve.now/feed?filter=critical&tech=nextjs&format=json
Nhiều giá trị	https://cve.now/feed?tech=nextjs,react&ecosystem=npm,pypi

filter, tech và ecosystem mỗi tham số nhận một hoặc nhiều giá trị, dưới dạng danh sách phân tách bằng dấu phẩy hoặc lặp lại tham số. Một mục phải khớp với ít nhất một giá trị được liệt kê của một trường và với mọi trường được cung cấp. Một nguồn cấp dữ liệu kết hợp tối đa 16 tổ hợp giá trị (ví dụ: 4 công nghệ x 4 hệ sinh thái). list_feed trong máy chủ MCP nhận cùng ba trường dưới dạng danh sách.

Hệ sinh thái: npm, pypi, go, maven, crates.io, packagist, rubygems, hex, nuget.

Công nghệ: nextjs, react, node, express, django, flask, rails, spring, log4j, kubernetes, docker, nginx, apache-httpd, openssl, postgresql, mysql, redis, microsoft-sql-server, oracle-database, mariadb, ibm-db2, mongodb, sap-ase, php, wordpress, jenkins, gitlab, fortinet, citrix, ivanti, cisco-ios, palo-alto-panos, vmware, microsoft-exchange, chrome, linux-kernel. Thiếu mục nào? Hãy yêu cầu.

Trong Slack, chạy /feed subscribe https://cve.now/feed?filter=critical ở bất kỳ kênh nào.

Kiểm tra hệ thống của bạn

Tải tệp khóa lên cve.now để nhận báo cáo có thể chia sẻ và nguồn cấp RSS chỉ gồm các mục ảnh hưởng đến chính xác phiên bản gói bạn đang dùng. Được hỗ trợ: package-lock.json, bun.lock, pnpm-lock.yaml, yarn.lock, requirements.txt, poetry.lock, uv.lock, Cargo.lock, go.sum, Gemfile.lock, mix.lock, composer.lock, Pipfile.lock, packages.lock.json (NuGet), gradle.lockfile, flake.lock (được kiểm tra theo commit git mà mỗi đầu vào ghim phiên bản, thông qua OSV; không kiểm tra CVE của gói nixpkgs).

Với danh sách gói ngắn, hãy tự tạo URL nguồn cấp dữ liệu:

https://cve.now/stack?p=npm:lodash@4.17.20,pypi:django@4.2.0

Máy chủ MCP

Máy chủ MCP Streamable HTTP từ xa tại https://mcp.cve.now/mcp, không cần xác thực. Công cụ: search, get_vulnerability, list_feed và check_stack. search nhận truy vấn (q) và các tham số có cấu trúc (severity, kev, exploited, tech, ecosystem, vendor, package, published, type), giải thích lý do khớp của từng kết quả và đề xuất truy vấn rộng hơn khi không có kết quả phù hợp.

Claude Code

claude mcp add --transport http cve-now https://mcp.cve.now/mcp

Codex

codex mcp add cve-now --url https://mcp.cve.now/mcp

OpenCode (opencode.json)

{
  "$schema": "https://opencode.ai/config.json",
  "mcp": {
    "cve-now": {
      "type": "remote",
      "url": "https://mcp.cve.now/mcp",
      "enabled": true
    }
  }
}

Cursor (.cursor/mcp.json)

{
  "mcpServers": {
    "cve-now": { "url": "https://mcp.cve.now/mcp" }
  }
}

Sau đó, yêu cầu tác nhân chạy check_stack trên tệp khóa của dự án.

Để tác nhân tự kiểm tra các phần phụ thuộc, hãy thêm nội dung sau vào AGENTS.md hoặc CLAUDE.md của dự án:

## Dependency vulnerabilities

Use the cve.now MCP server (https://mcp.cve.now/mcp, no API key) for vulnerability checks:

- Before adding or upgrading a dependency, and when asked whether this project is affected by a CVE, call `check_stack` with the lockfile's contents (or the packages and exact versions).
- For any CVE, GHSA or OSV id, call `get_vulnerability` to see whether it is in CISA KEV, whether its EPSS score has reached 10% (and when), and the fixed versions.
- No matches means cve.now found none, not that the packages are safe.

API

Điểm cuối	Nội dung trả về
https://cve.now/<id>	Trang dành cho mã CVE, GHSA hoặc OSV
https://cve.now/api/v1/entries/<id>	Cùng mục đó dưới dạng JSON; mục vừa được đồng bộ có thể chuyển hướng đến bản sao tĩnh, vì vậy hãy theo dõi chuyển hướng (curl -L)
https://cve.now/api/v1/entries	Tất cả mục đã xuất bản, mới nhất trước, phân trang bằng next_cursor
https://cve.now/api/v1/search	Tìm kiếm theo q và các tham số MCP search, kèm lý do khớp, số lượng theo khía cạnh và truy vấn rộng hơn (llms.txt)
https://cve.now/api/v1/status	Tình trạng thăm dò nguồn và độ bao phủ danh mục
https://cve.now/llms.txt	Hướng dẫn dạng văn bản thuần dành cho LLM và tác nhân

/feed và /api/v1/* gửi Access-Control-Allow-Origin: *.

Sự cố

Đăng sự cố để báo cáo:

• mục sai hoặc bị thiếu
• hai mục cần được hợp nhất, hoặc một mục đã hợp nhất những thứ không nên hợp nhất
• công nghệ hoặc hệ sinh thái gói bạn muốn được hỗ trợ
• nguồn công bố lỗ hổng mà chúng tôi nên theo dõi
• lỗi trong nguồn cấp dữ liệu, trang, API hoặc máy chủ MCP

Nếu bản ghi nguồn thượng nguồn có lỗi (ví dụ: mô tả CVE sai), chúng tôi sẽ hướng dẫn bạn đến CNA hoặc cơ sở dữ liệu khuyến cáo chịu trách nhiệm về bản ghi đó.

Đừng đăng lỗ hổng chưa được vá ở đây. Sự cố được công khai. Hãy báo cáo lỗ hổng trong sản phẩm của bên khác cho nhà cung cấp sản phẩm đó. Báo cáo lỗ hổng trong chính cve.now tới security@sazabi.ai (xem SECURITY.md).

Kho lưu trữ này không nhận pull request: các tệp được đồng bộ từ monorepo riêng tư của Sazabi, nên mọi thay đổi trực tiếp sẽ bị ghi đè. Thay vào đó, hãy mở một sự cố.

Nguồn dữ liệu và giấy phép

Dữ liệu: CVE List, GitHub Advisory Database, OSV, NVD, ENISA EUVD, danh mục CISA KEV, FIRST EPSS và Exploit-DB. Mỗi mục đều liên kết đến các nguồn của nó.

Phần tóm tắt mục do mô hình viết và được gắn nhãn tương ứng; chúng được xuất bản theo giấy phép CC-BY 4.0. Dữ liệu thượng nguồn vẫn tuân theo giấy phép và yêu cầu ghi công riêng.

Sản phẩm này sử dụng dữ liệu từ NVD API nhưng không được NVD chứng thực hoặc chứng nhận.

Văn bản trong kho lưu trữ này được cấp phép theo Apache 2.0.

---

Bạn muốn biết những lỗ hổng nào trong số này ảnh hưởng đến hệ thống của mình? Sazabi có thể cho bạn biết.