NVD — National Vulnerability Database

NIST 的 National Vulnerability Database。收录了所有已发布的 CVE（Common Vulnerabilities and Exposures）——软件漏洞、严重性评分（CVSS）、受影响产品（CPE）、引用链接。对“该软件版本是否存在漏洞？”这一问题的权威信息来源。免费且无需认证（有较轻的速率限制；建议使用加密钥）。

属于 Pipeworx ——一个将 AI 智能体连接到 1394+ 个实时数据源的 MCP 网关。

为什么这对 AI 智能体很重要

在进行安全分析、供应链风险评估，或提出“哪些 CVE 影响依赖项 X？”这类问题时，NVD 就是信息来源所在。商业漏洞数据库提供的是策展，而 NVD 是原始的政府级漏洞记录。可与 USPTO 专利 配对用于安全知识产权，与 SEC EDGAR 配对用于数据泄露披露。

常见使用流程：

• CVE 查询。 按 ID 查找特定 CVE，获取完整记录。

• 按产品 / 版本搜索。 “哪些 CVE 影响 Apache Log4j 2.x？”→ 使用关键词 + CPE 过滤器。

• 按严重性查看最近的 CVE。 最近公布的 Critical 和 High 严重性漏洞。

• CVSS 评分。 每个 CVE 都包含 CVSS v2、v3.0 和 v3.1 评分，建议智能体在进行当前分析时使用 v3.x。

Related MCP server: Cybersecurity MCP Server

认证

NVD 的 REST API 是免费的；未认证客户端每 30 秒约 5 次请求。前往 https://nvd.nist.gov/developers/request-an-api-key 获取免费 API 密钥，可将速率提升到每 30 秒约 50 次请求。通过 _apiKey 传入。

严重性等级（CVSS v3）

对于智能体的热点排查，“最近 90 天内的 High 和 Critical”是常见的关注区间。

常见误区

• CPE 匹配比较繁琐。 CPE（Common Platform Enumeration）是用于描述“此 CVE 影响该产品版本”的受限词汇表。CPE 中的软件名称往往不同于市场推广名。在搜索 CVE 之前，先使用 NVD 的 CPE 搜索找到正确的 CPE。

• CVE 覆盖并不完整。 有些漏洞被静默修复而从未获得 CVE 编号。相反，并非所有 CVE 都可在现实中利用。请根据实际环境判断。

• 严重性评分不等于可利用性。 某个你未用到的功能上的 Critical 级 CVSS 分数无关紧要；而某个暴露到互联网的功能即使只是 Medium 级 CVSS，其被攻击的实际风险也比分数所暗示的严重。尽可能结合 EPSS（Exploit Prediction Scoring System）使用。

• Reserved 与 published。 Reserved 状态的 CVE（“RESERVED”）是等待公开披露的占位符。一旦发布后，实际内容位于 description 中。通过过滤 vulnStatus 来筛选实际已知的信息。

• 引用内容更新滞后。 修复补丁和漏洞检测特征码通常会早于 NVD 记录的更新。对于实时的漏洞响应，可在 NVD 之上叠加 GitHub Security Advisories 或厂商通告。

• Modified 与 published 日期。 “Modified”日期通常反映重新评分或引用更新，而非新发现。若要查看“这一周披露了什么”，请按 publishedDate 排序。

快速开始

添加到您的 MCP 客户端（Claude Desktop，Cursor，Windsurf 等）：

{
  "mcpServers": {
    "nvd": {
      "url": "https://gateway.pipeworx.io/nvd/mcp"
    }
  }
}

或者连接到完整的 Pipeworx 网关以访问所有 1394+ 数据源：

{
  "mcpServers": {
    "pipeworx": {
      "url": "https://gateway.pipeworx.io/mcp"
    }
  }
}

使用 ask_pipeworx 进行对话

您无需直接调用工具，而是可以用自然英文提问：

ask_pipeworx({ question: "your question about Nvd data" })

网关会自动选择正确的工具，并自动填充参数。

更多

• 文档和指南

• pipeworx.io

许可证

MIT