vulnfeed-mcp

VulnFeed 是一个依赖漏洞监控 MCP 服务器，专为 Claude Code 等支持 MCP 协议的客户端设计。它能够扫描项目依赖中的已知漏洞，结合 EPSS 漏洞利用概率评分进行优先级排序，并推荐修复版本。

主要能力

• 锁文件解析：支持 package-lock.json (npm)、yarn.lock (Yarn)、pnpm-lock.yaml (pnpm)、requirements.txt (pip)、Pipfile.lock (Pipenv)、go.sum / go.mod (Go)、Cargo.lock (Rust)、Gemfile.lock (Ruby)、composer.lock (PHP)。解析锁文件以提取依赖名称和版本。
• 漏洞查询：查询 OSV.dev（包含 GitHub Advisories 及各生态安全数据库）获取已知 CVE。
• EPSS 增强：为漏洞补充 EPSS 利用概率评分。
• 智能过滤：默认抑制低优先级 CVE（EPSS < 10% 且 CVSS < 9.0），可减少约 80% 的噪音。在任何扫描工具中传入 show_all=True 可查看全部。
• 按可利用性排序：最可能被利用的漏洞优先显示。
• 修复版本推荐：从各安全公告的受影响版本范围中返回修复版本。

使用方式

将 VulnFeed 添加到 MCP 客户端配置中（Claude Code 为 ~/.claude/settings.json，Claude Desktop 为 claude_desktop_config.json）。

免费层（无需注册、无需 API 密钥）：

{
  "mcpServers": {
    "vulnfeed": {
      "command": "npx",
      "args": ["-y", "vulnfeed-mcp"]
    }
  }
}

付费版（每月 14 美元，无限扫描 + 项目）：

{
  "mcpServers": {
    "vulnfeed": {
      "command": "npx",
      "args": ["-y", "vulnfeed-mcp"],
      "env": {
        "VULNFEED_LICENSE_KEY": "your-license-key"
      }
    }
  }
}

许可证密钥可在 vulnfeed.novadyne.ai 获取。

持续监控

• monitor_project：对当前依赖和已知漏洞建立基线快照。
• check_alerts：与基线对比，仅显示新漏洞。
• 可定期运行 check_alerts，或传入 webhook_url 让 VulnFeed 自动执行。

使用 webhook（付费功能：需要许可证密钥，或对于 AI 代理使用 x402 支付，每项目每 30 天 0.50 美元）时，VulnFeed 每小时重新扫描项目并将新发现 POST 到指定 URL。每次投递都携带 X-VulnFeed-Signature: sha256=<hex>，即使用设置 webhook 时返回一次的 webhook_secret 对原始请求体计算的 HMAC-SHA256 签名。请验证该签名。投递失败会在后续扫描中重试约一天，之后丢弃并计数。可使用 set_webhook 轮换或移除 webhook。

x402 微支付

VulnFeed 也接受 x402 微支付——AI 代理可以使用 Base 上的 USDC 按次支付，无需 API 密钥或注册。当免费层限额达到时，API 返回 HTTP 402 及支付要求，x402 兼容客户端会自动处理。

• 每次 CVE 查询 0.002 美元
• 每项目每 30 天每小时 webhook 监控 0.50 美元（可续订；webhook 会在到期前一天收到包含续订 URL 的到期事件）

适用场景

适用于使用 Claude Code 等 MCP 客户端的开发者，希望在开发过程中自动监控项目依赖漏洞，并根据实际利用概率优先处理高风险问题。

限制

• 免费层每天 10 次扫描，监控 1 个项目。
• 单 CVE 查询和 webhook 需要许可证密钥或 x402 支付。
• 付费版每月 14 美元，提供无限扫描和项目。
• 其他功能细节暂未提供。