cve.now

官方

免费 CVE 查询：整合 CVE List、GHSA、OSV、NVD、CISA KEV、EPSS 和 Exploit-DB，每个漏洞仅保留一条去重记录。无需登录，无需 API 密钥。

你可以用 Cve Now MCP 做什么？

检查锁文件中的易受攻击依赖项 — 对项目的锁文件内容或确切的软件包版本运行 stack.check 操作，查看哪些条目会影响它们。
查询 CVE、GHSA 或 OSV ID — 运行 cve.get，查看 KEV 状态、EPSS 是否达到 10% 及达到时间，以及已修复的版本。
使用结构化筛选条件搜索漏洞 — 使用 entities.search，按 severity、kev、exploited、tech、ecosystem、vendor、package、published 或 type 筛选，并查看匹配原因。
读取筛选后的漏洞动态 — 使用 feed.read 或 list_feed，并指定 filter、tech 和 ecosystem 列表，例如查看 npm 中 nextjs 的严重漏洞条目。
浏览实体和排行榜 — 使用 cve、early-warning、breach、vendor、package 和 tech 的 .get 与 .list 操作，以及 leaderboard.get。

托管 MCP 服务器

npx add-mcp 'https://mcp.cve.now/mcp'

可安装到 Claude Code、Codex、Cursor 等客户端

文档

cve.now

免费的公共漏洞信息源。 cve.now 将 CVE List、GitHub Advisory Database、OSV、NVD、ENISA 的 European Vulnerability Database (EUVD)、CISA 的 Known Exploited Vulnerabilities catalog (KEV)、FIRST EPSS 评分和 Exploit-DB 合并为每个漏洞一条去重记录，并以 RSS、Atom、JSON Feed、JSON API 和 MCP 服务器的形式发布。无需账户，无需 API 密钥。

此仓库是 cve.now 在 GitHub 上的主页：介绍它是什么、如何使用，以及在哪里报告问题。该服务由 Sazabi 构建和运营；其源代码不公开。

Feeds

一个端点，https://cve.now/feed，可通过任意组合的筛选条件缩小范围。默认使用 RSS；添加 format=atom 或 format=json。

Feed	URL
严重：属于 CISA KEV、所列技术中 CVSS 9+，或 CVSS 7+ 且 EPSS 评分为 0.1 或更高	`https://cve.now/feed?filter=critical`
新增的 CISA Known Exploited Vulnerabilities	`https://cve.now/feed?filter=kev`
所有条目	`https://cve.now/feed`
单项技术	`https://cve.now/feed?tech=nextjs`
单个软件包生态系统	`https://cve.now/feed?ecosystem=npm`
组合筛选	`https://cve.now/feed?filter=critical&tech=nextjs&format=json`
多个值	`https://cve.now/feed?tech=nextjs,react&ecosystem=npm,pypi`

filter、tech 和 ecosystem 均可接受一个或多个值，多个值可用逗号分隔或重复指定。条目必须匹配某个字段中列出的任意值，并匹配所有给定字段。一个 Feed 最多组合 16 种值组合（例如 4 种技术 x 4 个生态系统）。MCP 服务器中的 list_feed 接受相同的三个字段作为列表。

生态系统：npm、pypi、go、maven、crates.io、packagist、rubygems、hex、nuget。

技术：nextjs、react、node、express、django、flask、rails、spring、log4j、kubernetes、docker、nginx、apache-httpd、openssl、postgresql、mysql、redis、microsoft-sql-server、oracle-database、mariadb、ibm-db2、mongodb、sap-ase、php、wordpress、jenkins、gitlab、fortinet、citrix、ivanti、cisco-ios、palo-alto-panos、vmware、microsoft-exchange、chrome、linux-kernel。缺少某项？提出请求。

在 Slack 的任意频道中运行 /feed subscribe https://cve.now/feed?filter=critical。

检查你的技术栈

在 cve.now 上传锁文件，即可获取可分享的报告和 RSS Feed，其中仅包含影响你所用确切软件包版本的条目。支持：package-lock.json、bun.lock、pnpm-lock.yaml、yarn.lock、requirements.txt、poetry.lock、uv.lock、Cargo.lock、go.sum、Gemfile.lock、mix.lock、composer.lock、Pipfile.lock、packages.lock.json (NuGet)、gradle.lockfile、flake.lock（通过 OSV 按每个输入锁定的 git commit 检查；不检查 nixpkgs 软件包 CVE）。

对于较短的软件包列表，可以自行构建 Feed URL：

https://cve.now/stack?p=npm:lodash@4.17.20,pypi:django@4.2.0

MCP 服务器

位于 https://mcp.cve.now/mcp 的远程 Streamable HTTP MCP 服务器，无需身份验证。两个永不变更的工具：search 用于查找操作，execute 用于运行操作。操作包括：cve.get、feed.read、stack.check、entities.search、leaderboard.get、feedback.send，以及每种实体类型（cve、early-warning、breach、vendor、package、tech）的 .get 和 .list。entities.search 接受查询（q）和结构化参数（severity、kev、exploited、tech、ecosystem、vendor、package、published、type），说明每个结果的匹配原因，并在没有匹配结果时建议扩大查询范围。旧工具（get_vulnerability、list_feed、check_stack 等）自 2026-11-11 起已弃用，但仍可使用。

Claude Code

claude mcp add --transport http cve-now https://mcp.cve.now/mcp

Codex

codex mcp add cve-now --url https://mcp.cve.now/mcp

OpenCode (opencode.json)

{
  "$schema": "https://opencode.ai/config.json",
  "mcp": {
    "cve-now": {
      "type": "remote",
      "url": "https://mcp.cve.now/mcp",
      "enabled": true
    }
  }
}

Cursor (.cursor/mcp.json)

{
  "mcpServers": {
    "cve-now": { "url": "https://mcp.cve.now/mcp" }
  }
}

然后让你的智能体对项目的锁文件运行 stack.check 操作。

plugin/ 文件夹将同一服务器打包为 Cursor 和 ChatGPT 插件。

若要让智能体自行检查依赖项，请将以下内容添加到项目的 AGENTS.md 或 CLAUDE.md：

## Dependency vulnerabilities

Use the cve.now MCP server (https://mcp.cve.now/mcp, no API key) for vulnerability checks:

- Before adding or upgrading a dependency, and when asked whether this project is affected by a CVE, run the `stack.check` operation with the lockfile's contents (or the packages and exact versions).
- For any CVE, GHSA or OSV id, run `cve.get` to see whether it is in CISA KEV, whether its EPSS score has reached 10% (and when), and the fixed versions.
- No matches means cve.now found none, not that the packages are safe.

API

Endpoint	Returns
`https://cve.now/<id>`	CVE、GHSA 或 OSV ID 对应的页面
`https://cve.now/api/v1/entries/<id>`	同一条目的 JSON；最近同步的条目可能会重定向到静态副本，因此请跟随重定向（`curl -L`）
`https://cve.now/api/v1/entries`	所有已发布条目，按时间从新到旧排列，使用 `next_cursor` 分页
`https://cve.now/api/v1/search`	使用 `q` 和 MCP 的 `search` 参数搜索，并提供匹配原因、分面计数和更宽泛的查询建议 (llms.txt)
`https://cve.now/api/v1/status`	来源轮询状态和目录覆盖范围
`https://cve.now/llms.txt`	面向 LLM 和智能体的纯文本指南

/feed 和 /api/v1/* 会发送 Access-Control-Allow-Origin: *。

Issues

提交 issue 以报告：

错误或缺失的条目
应合并却未合并的两条记录，或不应合并却被合并的记录
希望纳入覆盖范围的技术或软件包生态系统
希望我们监控的信息披露来源
Feed、页面、API 或 MCP 服务器中的错误

如果上游记录有误（例如 CVE 描述错误），我们会指引你联系负责该记录的 CNA 或公告数据库。

请勿在此发布尚未修复的漏洞。 Issues 是公开的。若要报告他人产品中的漏洞，请联系其供应商。若要报告 cve.now 本身的漏洞，请发送邮件至 security@sazabi.ai（参见 SECURITY.md）。

此仓库不接受 pull request：其中的文件会从 Sazabi 的私有 monorepo 同步，因此直接修改会被覆盖。请改为提交 issue。

来源和许可

数据来源：CVE List、GitHub Advisory Database、OSV、NVD、ENISA EUVD、CISA KEV catalog、FIRST EPSS 和 Exploit-DB。每条记录均链接到其来源。

条目摘要由模型撰写，并会明确标注；这些摘要以 CC-BY 4.0 许可发布。上游数据仍遵循其自身的许可和署名要求。

本产品使用 NVD API 的数据，但未获 NVD 背书或认证。

此仓库中的文本以 Apache 2.0 许可发布。

想知道这些漏洞中哪些会影响你的系统？Sazabi 可以为你解答。