cve.now

官方

免費 CVE 查詢：整合 CVE List、GHSA、OSV、NVD、CISA KEV、EPSS 和 Exploit-DB，每個漏洞僅列出一筆去重後的資料。無需登入，無需 API 金鑰。

你可以用 Cve Now MCP 做什麼？

搜尋漏洞 — 請助理依關鍵字、嚴重性、KEV 狀態、廠商、套件或發布日期尋找 CVE，並提供符合原因。
查詢 CVE — 擷取任何 CVE、GHSA 或 OSV ID 的詳細資訊，包括 KEV 狀態、EPSS 分數和修正版本。
檢查技術堆疊 — 對鎖定檔內容或精確套件版本清單執行 check_stack，查看哪些項目會影響這些套件。
建立篩選後的動態消息 — 使用 list_feed 搭配 filter、tech 和 ecosystem 清單，取得目標漏洞動態消息。

託管 MCP 伺服器

npx add-mcp 'https://mcp.cve.now/mcp'

可安裝到 Claude Code、Codex、Cursor 等客戶端

文件

cve.now

免費公開的漏洞資訊源。 cve.now 將 CVE List、GitHub Advisory Database、OSV、NVD、ENISA 的 European Vulnerability Database (EUVD)、CISA 的 Known Exploited Vulnerabilities catalog (KEV)、FIRST EPSS 分數和 Exploit-DB 整合為每個漏洞一筆去重後的項目，並以 RSS、Atom、JSON Feed、JSON API 和 MCP 伺服器發布。無須帳戶，也無須 API 金鑰。

此儲存庫是 cve.now 在 GitHub 上的據點：介紹服務內容、使用方式，以及回報問題的管道。此服務由 Sazabi 建置和營運；其原始碼並未公開。

資訊源

使用單一端點 https://cve.now/feed，搭配可自由組合的篩選條件。預設為 RSS；加上 format=atom 或 format=json 即可。

資訊源	URL
嚴重漏洞：列於 CISA KEV、指定技術中的 CVSS 9+，或 CVSS 7+ 且 EPSS 分數至少為 0.1	`https://cve.now/feed?filter=critical`
新增的 CISA Known Exploited Vulnerabilities	`https://cve.now/feed?filter=kev`
所有項目	`https://cve.now/feed`
單一技術	`https://cve.now/feed?tech=nextjs`
單一套件生態系	`https://cve.now/feed?ecosystem=npm`
組合篩選	`https://cve.now/feed?filter=critical&tech=nextjs&format=json`
多個值	`https://cve.now/feed?tech=nextjs,react&ecosystem=npm,pypi`

filter、tech 和 ecosystem 各自可接受一個或多個值，以逗號分隔清單或重複參數的方式提供。項目必須符合每個欄位中列出的任一值，以及所有指定的欄位。資訊源最多可組合 16 種值的組合（例如 4 種技術 x 4 種生態系）。MCP 伺服器中的 list_feed 使用相同的三個欄位，並以清單形式提供。

生態系：npm、pypi、go、maven、crates.io、packagist、rubygems、hex、nuget。

技術：nextjs、react、node、express、django、flask、rails、spring、log4j、kubernetes、docker、nginx、apache-httpd、openssl、postgresql、mysql、redis、microsoft-sql-server、oracle-database、mariadb、ibm-db2、mongodb、sap-ase、php、wordpress、jenkins、gitlab、fortinet、citrix、ivanti、cisco-ios、palo-alto-panos、vmware、microsoft-exchange、chrome、linux-kernel。缺少某項？提出需求。

在 Slack 的任一頻道中執行 /feed subscribe https://cve.now/feed?filter=critical。

檢查你的技術堆疊

在 cve.now 上傳鎖定檔，即可取得可分享的報告，以及只包含影響你所用確切套件版本之項目的 RSS 資訊源。支援：package-lock.json、bun.lock、pnpm-lock.yaml、yarn.lock、requirements.txt、poetry.lock、uv.lock、Cargo.lock、go.sum、Gemfile.lock、mix.lock、composer.lock、Pipfile.lock、packages.lock.json (NuGet)、gradle.lockfile、flake.lock（透過 OSV，依據每個輸入所固定的 git commit 進行檢查；不檢查 nixpkgs 套件 CVE）。

若套件清單較短，也可以自行建立資訊源 URL：

https://cve.now/stack?p=npm:lodash@4.17.20,pypi:django@4.2.0

MCP 伺服器

位於 https://mcp.cve.now/mcp 的遠端 Streamable HTTP MCP 伺服器，無須驗證。工具：search、get_vulnerability、list_feed 和 check_stack。search 接受查詢（q）和結構化參數（severity、kev、exploited、tech、ecosystem、vendor、package、published、type），說明每筆結果符合條件的原因，並在沒有符合結果時建議更廣泛的查詢。

Claude Code

claude mcp add --transport http cve-now https://mcp.cve.now/mcp

Codex

codex mcp add cve-now --url https://mcp.cve.now/mcp

OpenCode (opencode.json)

{
  "$schema": "https://opencode.ai/config.json",
  "mcp": {
    "cve-now": {
      "type": "remote",
      "url": "https://mcp.cve.now/mcp",
      "enabled": true
    }
  }
}

Cursor (.cursor/mcp.json)

{
  "mcpServers": {
    "cve-now": { "url": "https://mcp.cve.now/mcp" }
  }
}

接著請你的代理程式使用專案的鎖定檔執行 check_stack。

若要讓代理程式自行檢查相依項目，請將以下內容加入專案的 AGENTS.md 或 CLAUDE.md：

## Dependency vulnerabilities

Use the cve.now MCP server (https://mcp.cve.now/mcp, no API key) for vulnerability checks:

- Before adding or upgrading a dependency, and when asked whether this project is affected by a CVE, call `check_stack` with the lockfile's contents (or the packages and exact versions).
- For any CVE, GHSA or OSV id, call `get_vulnerability` to see whether it is in CISA KEV, whether its EPSS score has reached 10% (and when), and the fixed versions.
- No matches means cve.now found none, not that the packages are safe.

API

端點	回傳內容
`https://cve.now/<id>`	CVE、GHSA 或 OSV ID 的頁面
`https://cve.now/api/v1/entries/<id>`	相同項目的 JSON；最近同步的項目可能會重新導向至靜態副本，因此請跟隨重新導向（`curl -L`）
`https://cve.now/api/v1/entries`	所有已發布項目，依新到舊排序，使用 `next_cursor` 分頁
`https://cve.now/api/v1/search`	依據 `q` 和 MCP 的 `search` 參數搜尋，並提供符合原因、分類計數和更廣泛的查詢 (llms.txt)
`https://cve.now/api/v1/status`	來源輪詢狀態和目錄涵蓋範圍
`https://cve.now/llms.txt`	提供給 LLM 和代理程式的純文字指南

/feed 和 /api/v1/* 會傳送 Access-Control-Allow-Origin: *。

問題回報

建立 issue 以回報：

錯誤或缺漏的項目
應合併卻未合併的兩個項目，或不應合併卻被合併的項目
希望納入涵蓋範圍的技術或套件生態系
希望我們追蹤的揭露來源
資訊源、頁面、API 或 MCP 伺服器中的錯誤

若上游記錄有誤（例如 CVE 說明錯誤），我們會指引你前往負責該記錄的 CNA 或公告資料庫。

請勿在此發布尚未修補的漏洞。 Issues 是公開的。若要回報他人產品中的漏洞，請聯絡該產品的供應商。若要回報 cve.now 本身的漏洞，請寄信至 security@sazabi.ai（請參閱 SECURITY.md）。

此儲存庫不接受 pull request：其中的檔案會從 Sazabi 的私人 monorepo 同步，因此直接修改會被覆蓋。請改為建立 issue。

資料來源與授權

資料來源：CVE List、GitHub Advisory Database、OSV、NVD、ENISA EUVD、CISA KEV catalog、FIRST EPSS 和 Exploit-DB。每個項目都會連結至其資料來源。

項目摘要由模型撰寫，並會標示為模型生成；摘要依 CC-BY 4.0 授權發布。上游資料仍依其各自的授權和署名規定處理。

本產品使用 NVD API 的資料，但未獲 NVD 背書或認證。

此儲存庫中的文字依 Apache 2.0 授權。

想知道這些漏洞是否影響你的系統？Sazabi 可以告訴你。