CVE Research Skill 的用途是对项目依赖中已知漏洞进行研究。
数据来源
该技能使用以下数据源：NVD，API 为 nvd.nist.gov/vuln/api，覆盖全部 CVE；OSV.dev，API 为 api.osv.dev，覆盖 npm、PyPI、Go、crates、Maven；GitHub Advisory，地址为 github.com/advisories，覆盖 npm、pip、composer、cargo；Exa Search，通过 MCP 调用，用于实时网络搜索。
工作流程
- 从项目中提取依赖（如 package.json 等）。
- 向每个数据源查询已知 CVE。
- 跨数据源交叉比对结果。
- 按 CVSS 评分与可利用性排定优先级。
- 报告修复版本与临时缓解方案。
查询策略
针对每个依赖：首先查询 OSV.dev（对包而言速度最快、最准确）；交叉核对 NVD 以获取 CVSS 评分；使用 Exa 查找尚未进入数据库的近期公告；检查 GitHub Advisory 了解维护者回应。
严重性映射
CVSS 9.0 - 10.0 对应 CRITICAL，应立即修复；7.0 - 8.9 对应 HIGH，应在合并前修复；4.0 - 6.9 对应 MEDIUM，应计划修复；0.1 - 3.9 对应 LOW，应记录在案。
限制
本技能是针对单一依赖的查询，不适用于整个项目的依赖全面扫描；后者应使用 dependency-audit。关于具体收费、价格、平台支持范围等细节暂未提供。