crowbar — MCP-сервер для Claude Code: CVE-индекс в вашем репозитории

Что делает crowbar

crowbar забирает сведения из NVD, CISA KEV, EPSS, SSVC, CVE List, Exploit-DB, Nuclei, Metasploit, OSV и других источников и складывает их в одну базу SQLite с полнотекстовым поиском FTS5. Дальше вы или агент спрашиваете по продукту и версии, а ответ приходит из локального индекса. Сеть при этом не нужна, поэтому один и тот же запрос даёт один и тот же результат, а поиск занимает миллисекунды.

Работает в двух режимах. Через MCP-сервер агент сам вызывает инструменты вроде cb_cve, cb_product, cb_search, cb_exploit — например, когда вы спрашиваете, уязвима ли библиотека. Отдельно есть CLI: crowbar sync --tier lite, crowbar build --tier lite, crowbar doctor. Уровни lite, medium, heavy и extreme отличаются объёмом данных на диске, каждый включает предыдущий. Для CLI нужен Python 3.11+, сторонних Python-пакетов не требуется.

Индекс живёт в ~/.crowbar. Уровень lite занимает около 150 МБ, и первая сборка идёт небыстро, потому что NVD качается медленно. Обновление — crowbar update. Публичные эксплойты и PoC crowbar хранит как данные: он их не клонирует и не запускает. Всё, что он показывает, считайте враждебным кодом и запускайте только в одноразовой виртуальной машине, а проверять — лишь свои системы или те, на тестирование которых есть разрешение.