NVD – Nationale Schwachstellendatenbank

NISTs National Vulnerability Database. Jedes jemals veröffentlichte CVE (Common Vulnerabilities and Exposures) – Softwareschwachstellen, Schweregrade (CVSS), betroffene Produkte (CPEs), Referenzen. Die maßgebliche Quelle für „Ist diese Softwareversion verwundbar?" Kostenlos, ohne Authentifizierung (leichtes Rate-Limit; Schlüssel empfohlen).

Teil von Pipeworx – ein MCP-Gateway, das KI-Agenten mit über 1394+ Live-Datenquellen verbindet.

Warum das für KI-Agenten wichtig ist

Für Sicherheitsanalysen, Lieferketten-Risikobewertungen oder „Welche CVEs betreffen Abhängigkeit X?" ist die NVD die Quelle. Während kommerzielle Schwachstellendatenbanken Kuratierung hinzufügen, ist die NVD der rohe behördliche Datensatz. Kombinieren Sie mit USPTO-Patente für Sicherheits-IP, SEC EDGAR für Offenlegungen von Sicherheitsverletzungen.

Häufige Abläufe:

• CVE-Suche. Finden Sie ein bestimmtes CVE anhand der ID für den vollständigen Datensatz.

• Suche nach Produkt / Version. „Welche CVEs betreffen Apache Log4j 2.x?" → Schlüsselwort + CPE-Filter.

• Aktuelle CVEs nach Schweregrad. Kritische und hohe Schweregrade, die kürzlich veröffentlicht wurden.

• CVSS-Bewertung. Jedes CVE hat CVSS-v2-, v3.0- und v3.1-Werte; Agenten sollten für aktuelle Analysen v3.x verwenden.

Related MCP server: Cybersecurity MCP Server

Authentifizierung

Die REST-API der NVD ist kostenlos; ein nicht authentifizierter Client erhält ~5 Anfragen pro 30 Sekunden. Holen Sie sich einen kostenlosen API-Schlüssel unter https://nvd.nist.gov/developers/request-an-api-key für ~50 Anfragen pro 30 Sekunden. Übergeben Sie ihn über _apiKey.

Schweregradklassen (CVSS v3)

Für die Agenten-Triage ist „Hoch und Kritisch, letzte 90 Tage" der übliche Aufmerksamkeitsbereich.

Häufige Fallstricke

• CPE-Abgleich ist knifflig. CPE (Common Platform Enumeration) ist das kontrollierte Vokabular für „Dieses CVE betrifft diese Produktversion." Softwarernamen in CPE weichen oft von den Marketingnamen ab. Nutzen Sie die CPE-Suche der NVD, um das richtige CPE zu finden, bevor Sie nach CVEs suchen.

• Die CVE-Abdeckung ist nicht vollständig. Einige Fehler werden stillschweigend gepatcht, ohne dass ein CVE zugewiesen wird. Umgekehrt ist nicht jedes CVE in der Praxis ausnutzbar. Triage nach Umgebung.

• Der Schweregrad ist nicht die Ausnutzbarkeit. Ein kritischer CVSS-Wert für eine Funktion, die Sie nicht nutzen, ist irrelevant; ein mittlerer CVSS-Wert für etwas, das dem Internet ausgesetzt ist, ist schlimmer als der Wert vermuten lässt. Kombinieren Sie mit EPSS (Exploit Prediction Scoring System), wenn verfügbar.

• Reserviert vs. veröffentlicht. Reservierte CVEs („RESERVED") sind Platzhalter, die auf die öffentliche Offenlegung warten. Der eigentliche Inhalt befindet sich nach der Veröffentlichung in description. Filtern Sie vulnStatus nach dem, was tatsächlich bekannt ist.

• Referenzen hinken hinterher. Patches und Exploit-Erkennungssignaturen erscheinen oft, bevor der NVD-Datensatz aktualisiert wird. Für die Echtzeit-Schwachstellenreaktion legen Sie GitHub Security Advisories oder Herstellerkanäle darüber.

• Geändert vs. veröffentlichtes Datum. Das „geänderte" Datum spiegelt oft Neubewertungen oder Referenzaktualisierungen wider, nicht neue Erkenntnisse. Für „Was wurde diese Woche offengelegt" sortieren Sie nach publishedDate.

Schnellstart

Fügen Sie zu Ihrem MCP-Client hinzu (Claude Desktop, Cursor, Windsurf usw.):

{
  "mcpServers": {
    "nvd": {
      "url": "https://gateway.pipeworx.io/nvd/mcp"
    }
  }
}

Oder verbinden Sie sich mit dem vollständigen Pipeworx-Gateway für Zugriff auf alle 1394+ Datenquellen:

{
  "mcpServers": {
    "pipeworx": {
      "url": "https://gateway.pipeworx.io/mcp"
    }
  }
}

Verwendung mit ask_pipeworx

Anstatt Tools direkt aufzurufen, können Sie Fragen in einfachem Englisch stellen:

ask_pipeworx({ question: "your question about Nvd data" })

Das Gateway wählt das richtige Tool aus und füllt die Argumente automatisch aus.

Mehr

• Dokumentation und Anleitungen

• pipeworx.io

Lizenz

MIT