cve-research

CVE Research 是一个面向项目依赖的已知漏洞研究技能，用于在检查某个具体依赖或包版本是否存在已知 CVE 与安全公告时使用。

用途：针对单一依赖或包版本进行漏洞查询，汇总多个数据源的结果，给出按严重程度排序的处理建议，并报告修复版本与临时缓解方案。

主要数据源：

• NVD：nvd.nist.gov/vuln/api，覆盖全部 CVE
• OSV.dev：api.osv.dev，覆盖 npm、PyPI、Go、crates、Maven
• GitHub Advisory：github.com/advisories，覆盖 npm、pip、composer、cargo
• Exa 搜索：通过 MCP，提供实时网络搜索

使用方式（工作流）：

1. 从项目中提取依赖（如 package.json 等）；
2. 向各数据源查询已知 CVE；
3. 交叉比对多个来源的发现；
4. 按 CVSS 评分与可利用性排序；
5. 报告修复版本与临时缓解方案。

查询策略：对每个依赖，优先搜索 OSV.dev（对包而言最快、最准确）；再交叉核对 NVD 获取 CVSS 评分；使用 Exa 查找尚未进入数据库的近期公告；检查 GitHub Advisory 了解维护者响应。

严重程度映射与处置：

• CVSS 9.0–10.0：CRITICAL，立即修复
• CVSS 7.0–8.9：HIGH，合并前修复
• CVSS 4.0–6.9：MEDIUM，计划修复
• CVSS 0.1–3.9：LOW，记录在案

适用范围与限制：该技能是单依赖查询工具，不是完整的项目依赖全面扫描；如需整个项目的依赖审计，应改用 dependency-audit。