cve-cache

io.github.weiseer由 GitHub 账号 weiseer 发布v0.1.1更新于 Oct 24, 2026

Recent CVE + GHSA cache for AI agents auditing dependencies (npm/PyPI/Cargo/Maven/Go).

已验证STDIO仅桌面开发者工具安全与监控

概览

AI 生成的概览

本地 stdio MCP 服务器，提供近期 CVE 与 GHSA 公告的缓存快照，让助手审计依赖并筛查软件包。

可以做什么
  • 按 CVE 或 GHSA 编号查询单条完整记录
  • 按生态（npm、PyPI、Cargo、Maven、Go）查找影响某个软件包的全部公告
  • 列出近期高危 CVE，默认最近 7 天且 CVSS 不低于 7
  • 按严重程度分桶统计公告数量
适用场景
适合助手在审计项目依赖或筛查新软件包时使用，需要跨生态、已归一化的漏洞数据，而不必每次提问都直接查询 NVD 或 GHSA。
运行要求
以 stdio 方式在本地运行，从 npm 包 @weiseer/cve-cache-mcp 安装（需要 Node.js，通常通过 npx 启动）。未声明任何身份验证。可选环境变量 CVE_CACHE_LOCAL_ONLY 用于跳过远程获取，CVE_CACHE_URL 用于覆盖远程快照地址；除非启用仅本地模式，否则需要网络访问。
安装前请注意
数据是缓存快照，最新的公告可能缺失，关键结论应与原始来源核对。设置 CVE_CACHE_URL 会把服务器指向第三方快照地址，远程获取也会向外部发出请求。README 在免费方案之外提到付费选项，使用前请确认是否产生费用。

安装

在 SourceWeft 中

  1. 打开 控制台中的 cve-cache，将其添加到工作区。
  2. 为需要使用其工具的对话启用该服务。

Desktop only，通过 STDIO。 STDIO 服务会启动本地进程，因此需要 SourceWeft 桌面宿主。

其他 MCP 客户端

参照 仓库 中的启动说明。

README

@weiseer/cve-cache-mcp

Recent CVE + GHSA cache as a stdio MCP server.

Probe P-005 by weiseer.

What it does

Cached, structured snapshot of recent CVE + GitHub Security Advisory records — for AI agents auditing dependencies or screening new packages.

Your agent can:

  • lookup_cve — full record for one CVE/GHSA ID
  • find_for_package — all CVEs affecting a package by ecosystem (npm/PyPI/Cargo/Maven/Go)
  • list_recent_critical — recent high-severity CVEs (default: 7-day, CVSS ≥ 7)
  • severity_summary — counts by severity bucket

Why use this instead of your agent querying NVD itself

Agent DIYcve-cache
Source queryNVD JSON feeds + GHSA GraphQL1 MCP call
Token cost (NVD records are large)$0.05-0.20$0 free / $0.00005 paid
Latency2-10 seconds<100ms
Cross-ecosystem normalizationPer-source schemaPre-normalized

Install

bash
npm install -g @weiseer/cve-cache-mcp

Use with Claude Desktop / Cursor / Cline / Continue / Windsurf

json
{  "mcpServers": {    "cve-cache": {      "command": "npx",      "args": ["-y", "@weiseer/cve-cache-mcp"]    }  }}

License

Apache-2.0. Catalog data: derived from public CVE/NVD/GHSA feeds (CC0/public domain).

来源：README.md，提交 b8bb34f

工具

0
SourceWeft 尚未在沙箱中启动过该软件包，因此其工具未知。

版本历史

1
  1. v0.1.1最新Sep 16, 2026

评分

已满足适用检查项的 40%

该评分衡量此收录条目的完整程度，依据注册中心条目、端点与公开来源计算得出。它不是对服务器本身的评价，也不表示服务器安全或当前可用：可连通性是带日期的检查结果，评分也不包含安装量或用户评价。

  • 近 30 天内可连通25 分

    请保持端点能够响应 MCP 握手；SourceWeft 每 30 天探测一次。

  • 已声明认证方式10 分

    请在注册中心条目中声明凭据请求头，或保持端点能够响应探测，以便判定其认证方式。

  • 已列出工具15 分

    请让服务器在无凭据时响应 tools/list，或发布可在沙箱中无凭据启动的软件包。

  • 描述必需15 分
  • 图标10 分
  • 文档15 分
  • 许可证10 分

    请在仓库或注册中心条目中声明许可证。