CVE Scanner - 开源漏洞分析技能

概述

CVE Scanner 是一款用于分析开源软件安全漏洞（CVE）并生成报告的工具。

使用方法

单个包分析

bash

基本用法

cve-scanner 包名 版本

示例

cve-scanner log4j-core 2.14.0 cve-scanner openssl 1.1.1k --severity HIGH,CRITICAL cve-scanner spring-framework 5.3.18 --output excel

文件分析

bash

分析依赖文件

cve-scanner --file package.json
cve-scanner --file requirements.txt --output json
cve-scanner --file pom.xml --severity CRITICAL,HIGH

选项

选项	说明	默认值
--severity	严重程度筛选 (CRITICAL,HIGH,MEDIUM,LOW)	全部
--output

输出格式 (markdown, excel, json, csv) | markdown | | --ecosystem | 指定生态系统 (npm, pypi, maven, golang 等) | 自动检测 | | --file | 依赖文件路径 | - | | --quiet, -q | 抑制警告信息 (建议在 JSON 输出时使用) | - | | --no-cache | 不使用缓存 | - | | --max-retries | API 调用重试次数 | 3 | | --nvd-key | NVD API 密钥 (提高速率限制) | - | | --github-token | GitHub 令牌 (提高速率限制) | - |

支持的文件格式

• - package.json / package-lock.json (npm)
• requirements.txt / Pipfile.lock (PyPI)
• pom.xml / build.gradle (Maven)
• go.mod / go.sum (Go)
• Cargo.lock (Rust)
• composer.lock (PHP)
• Gemfile.lock (Ruby)

数据来源

1. 1. NVD (NIST) - 美国国家漏洞数据库
2. OSV.dev (Google) - 开源专用漏洞数据库
3. GitHub Advisory - GitHub 安全公告

输出示例

Markdown

markdown

CVE Scanner 漏洞分析报告

📦 log4j-core

项目	内容
当前版本	2.14.0
最新版本

2.23.1 | | 发现 CVE 数量 | 3 个 |

漏洞列表

CVE ID	严重程度	CVSS	描述
CVE-2021-44228	🔴 CRITICAL	10.0	Log4Shell

API 密钥设置 (可选)

bash

NVD API 密钥 (提高速率限制)

export NVDAPIKEY=your-api-key

GitHub 令牌 (提高速率限制)

export GITHUB_TOKEN=your-token

依赖要求

bash
pip install -r requirements.txt

注意事项

• - 存在 API 速率限制，批量查询时可能需要较长时间
• 部分包可能需要指定生态系统
• 建议使用 SemVer 版本格式