VulnFeed

掃描專案鎖定檔中的已知相依性漏洞，以 EPSS 利用機率評分，並提供修正版本建議。

可以做什麼

VulnFeed 會解析 npm、Yarn、pnpm、pip、Pipenv、Go、Rust、Ruby 與 PHP 專案的鎖定檔，取出相依性名稱與版本，接著查詢 OSV.dev 取得已知 CVE，並以 EPSS 利用機率分數補充資訊。掃描工具包括 scan_project、scan_lockfile、check_package 與 lookup_cve；持續監控工具包括 monitor_project、check_alerts、set_webhook、update_deps、list_monitored 與 unmonitor_project。預設會抑制低優先順序的 CVE（EPSS 低於 10% 且 CVSS 低於 9.0），據稱可減少約 80% 的雜訊；設定 show_all=True 可查看全部結果。

適用情境

當你希望助理檢查專案相依性中的已知漏洞、依可能被利用的程度排序，並取得修正版本建議時，可以使用它。它也適合對專案進行持續監控，可以定期執行 check_alerts，或註冊 webhook 接收推送警示。

執行需求

透過 stdio 在本機執行，使用 uvx vulnfeed-mcp 安裝，因此需要 Python/uv 執行環境。免費層無需註冊或 API 金鑰，每天可掃描 10 次並監控 1 個專案。付費功能（單一 CVE 查詢與 webhook）需要在 VULNFEED_API_KEY 環境變數中提供授權金鑰，或使用 Base 上 USDC 的 x402 微支付。需要連線至 VulnFeed API 與 OSV.dev 的網路存取。