Prosjektet ligger på GitHub som mukul975/cve-mcp-server, har 328 stjerner og MIT-lisens. Cyber Security News omtalte slippet onsdag. Stack-en er Python med FastMCP, httpx, aiosqlite, Pydantic v2 og defusedxml. Hele serveren snakker bare utgående HTTPS: ingen åpne porter, ingen telemetri, og API-nøkler logges aldri.
Poenget er å fjerne tab-helvetet for sikkerhetsanalytikere. Triage av én CVE krever typisk at du åpner NVD for CVSS, EPSS for utnyttelses-sannsynlighet, CISAs KEV for kjent utnyttelse, GitHub for patch-status, VirusTotal for malware-kobling og Shodan for eksponerte verter. EPSS v4-data viser at 96 prosent av CVE-varsler under utnyttelses-terskelen aldri blir undersøkt manuelt, fordi arbeidsmengden er for stor.
De 27 verktøyene er gruppert i fem kategorier: kjerne-sårbarhet, exploit og angrep, risiko og rapportering, nettverks-intel og trussel-intel. bulk_cve_lookup henter 20 CVE-er parallelt. Exploit-verktøy mapper CVE-er til MITRE ATT&CK og sjekker PoC i GitHub og Exploit-DB. Nettverks-laget legger til AbuseIPDB, GreyNoise, Shodan og CIRCL Passive DNS.
«Server-en opererer kun via utgående HTTPS, ingen inngående porter, ingen telemetri, ingen API-nøkler som logges.» — Cyber Security News
Åtte verktøy fungerer uten API-nøkler i det hele tatt: EPSS, CISA KEV, OSV.dev, MITRE ATT&CK, CWE-oppslag, CVSS-parsing, Ransomwhere og NVD med redusert rate. Du kan installere og teste samme kveld, og legge til nøkler for NVD og GitHub når du trenger 10x throughput.
Risiko-formelen er det mest interessante designvalget. I stedet for ren CVSS vekter den EPSS 35 prosent, CISA KEV 30 prosent, CVSS 20 prosent og PoC-tilgjengelighet 15 prosent. Aktiv KEV+PoC-kombinasjon, CVSS over 9.0 med høy EPSS, og nylig publiserte CVE-er får boost. Score 76–100 trigger CRITICAL-label med patch-vindu på 24–48 timer.
Hva bør du gjøre?
- Klon mukul975/cve-mcp-server og koble den til Claude Desktop eller Claude Code. Ferdig konfig følger med.
- Start med de åtte nøkkel-frie verktøyene før du registrerer NVD- og GitHub-nøkler. Da ser du throughput-gevinsten konkret.
- Vurder den vektede risiko-formelen mot din egen triage-praksis. Hvis du fortsatt sorterer på ren CVSS, viser de 35 prosent EPSS hvor mye du går glipp av.