Prüfen Sie npm-Paket-Metadaten, bekannte Sicherheitslücken und CVE-Details direkt im Gespräch. Der MCP-Server von NPMScan gibt KI-Agenten schreibgeschützte Tools an die Hand, gestützt auf die npm-Registry, OSV.dev, GitHub Security Advisories, die eigene API von GitHub und die National Vulnerability Database des NIST: Durchsuchen Sie Pakete nach Name oder Stichwort — jedes Ergebnis mit Download-Zahlen, Anzahl abhängiger Pakete und Typosquatting-Erkennung; prüfen Sie Install-Skripte, Maintainer, Lizenz, GitHub-Stars und Download-Trend eines Pakets vor der Installation, oder vergleichen Sie 2 bis 5 Kandidaten nebeneinander mit einer deterministischen Empfehlung; überprüfen Sie eine in einer Lockfile fixierte exakte Version, oder simulieren Sie ein Upgrade, bevor Sie npm install ausführen, um zu sehen, ob es sich um einen sicheren Patch oder ein potenziell breaking Major-Upgrade handelt; fragen Sie Sicherheitslücken für ein Paket oder bis zu 100 auf einmal ab — jeder Fund ist mit Schweregrad, einer Zusammenfassung, CVE-Aliassen und der behobenen Version angereichert, statt nur einer nackten Advisory-ID; prüfen Sie die Abhängigkeiten eines gesamten GitHub-Repositorys (einschließlich Monorepo-Workspaces) in einem einzigen Aufruf, oder erzeugen Sie eine spezifikationskonforme CycloneDX-/SPDX-SBOM mit eingebetteten Sicherheitslücken- und Lizenzdaten; ordnen Sie die Funde aus einem rohen npm audit --json-Bericht anhand von CISA-KEV-/FIRST-EPSS-Ausnutzungsdaten nach Priorität, um zu wissen, was zuerst zu beheben ist, und rufen Sie anschließend das konkrete, geordnete Remediation-Playbook für einen markierten Fund ab; prüfen Sie die Veröffentlichungshistorie eines npm-Maintainer-Kontos auf ein Muster, das auf ein kompromittiertes Konto hindeutet, oder rufen Sie dessen Basisprofil ab; durchstöbern Sie die neuesten npm-Advisories — entweder aus der von GitHub kuratierten, überwiegend CVE-gestützten Sammlung oder aus dessen Feed bekannter bösartiger Pakete —, filterbar nach Schweregrad, Schwachstellenkategorie (XSS, SQL-/NoSQL-Injection, SSRF, Zugriffskontrolle, Code-Injection und 15 weiteren, nur aus der geprüften Sammlung), betroffenem Paket oder exakter GHSA-/CVE-ID; und rufen Sie maßgebliche CVSS-/CWE-Daten für jede CVE in jedem Ökosystem ab, angereichert mit dem Known-Exploited-Vulnerabilities-Status der CISA und dem EPSS-Ausnutzungswahrscheinlichkeits-Score von FIRST.org. Es ist weder ein API-Key noch eine Authentifizierung erforderlich, und jedes Ergebnis verlinkt auf die vollständige Analyse auf npmscan.com.