VulnFeed
io.github.novadyne-hq由 GitHub 账号 novadyne-hq 发布v0.3.10更新于 Oct 11, 2026
Dependency vulnerability scanner with EPSS scoring. 9 MCP tools. Free tier + x402.
概览
AI 生成的概览
扫描项目锁文件中的已知依赖漏洞，用 EPSS 利用概率评分，并给出修复版本建议。
- 可以做什么
- VulnFeed 解析 npm、Yarn、pnpm、pip、Pipenv、Go、Rust、Ruby 和 PHP 项目的锁文件，提取依赖名称和版本，然后查询 OSV.dev 获取已知 CVE，并用 EPSS 利用概率评分进行补充。扫描工具包括 scan_project、scan_lockfile、check_package 和 lookup_cve；持续监控工具包括 monitor_project、check_alerts、set_webhook、update_deps、list_monitored 和 unmonitor_project。默认会抑制低优先级 CVE（EPSS 低于 10% 且 CVSS 低于 9.0），据称可减少约 80% 的噪声；设置 show_all=True 可查看全部结果。
- 适用场景
- 当你希望助手检查项目依赖中的已知漏洞、按可能被利用的程度排序并获取修复版本建议时，可以使用它。它也适合对项目进行持续监控，可以定期运行 check_alerts，或注册 webhook 接收推送告警。
- 运行要求
- 通过 stdio 在本地运行，使用 uvx vulnfeed-mcp 安装，因此需要 Python/uv 运行时。免费层无需注册或 API 密钥，每天可扫描 10 次并监控 1 个项目。付费功能（单 CVE 查询和 webhook）需要在 VULNFEED_API_KEY 环境变量中提供许可证密钥，或使用 Base 上 USDC 的 x402 微支付。需要访问 VulnFeed API 和 OSV.dev 的网络连接。
安装前请注意
可选的 VULNFEED_API_KEY 是付费许可证密钥，应妥善保密。付费使用会产生费用：每月 14 美元可不限扫描和项目，或使用 x402 微支付，每次扫描 0.01 美元、每次 CVE 查询 0.002 美元、每个项目每 30 天每小时 webhook 监控 0.50 美元。Webhook 会把发现结果 POST 到你提供的 URL，设置 webhook 时返回的 webhook_secret 应用于验证 X-VulnFeed-Signature 头。依赖名称和版本会发送到 VulnFeed API 和 OSV.dev。
安装
在 SourceWeft 中
- 打开 控制台中的 VulnFeed，将其添加到工作区。
- 为需要使用其工具的对话启用该服务。
Desktop only，通过 STDIO。 STDIO 服务会启动本地进程，因此需要 SourceWeft 桌面宿主。
其他 MCP 客户端
参照 仓库 中的启动说明。
README
该仓库没有 README。
工具
0SourceWeft 尚未在沙箱中启动过该软件包，因此其工具未知。
版本历史
3- v0.3.10最新Sep 26, 2026
- v0.3.9Sep 19, 2026
- v0.3.7Sep 16, 2026
评分
已满足适用检查项的 25%
该评分衡量此收录条目的完整程度，依据注册中心条目、端点与公开来源计算得出。它不是对服务器本身的评价，也不表示服务器安全或当前可用：可连通性是带日期的检查结果，评分也不包含安装量或用户评价。
- 近 30 天内可连通25 分
请保持端点能够响应 MCP 握手；SourceWeft 每 30 天探测一次。
- 已声明认证方式10 分
请在注册中心条目中声明凭据请求头，或保持端点能够响应探测，以便判定其认证方式。
- 已列出工具15 分
请让服务器在无凭据时响应 tools/list，或发布可在沙箱中无凭据启动的软件包。
- 描述必需15 分
- 图标10 分
- 文档15 分
请声明包含 README 的 GitHub 仓库，或在 OAuth 受保护资源元数据中提供 resource_documentation。
- 许可证10 分
请在仓库或注册中心条目中声明许可证。