Vdb

Name: Vdb
Author: 0pstech

โดย 0pstechรุ่น 0.2.8i★ –iบนเครื่องหรือคลาวด์

ชื่อใน registrykr.ai.vdb/vdb

ติดตั้ง

ภาพรวม

คำอธิบายจากผู้ทำ (ภาษาอังกฤษตามต้นฉบับ)

Check packages for CVEs, slopsquatting, and CISA KEV before your AI agent installs them.

สามเสาของ PopNx MCP

สามเรื่องนี้ไม่รวมเป็นคะแนนเดียว เพราะความเห็น การวัด และความนิยม เป็นคนละเรื่องกัน

เสียงผู้ใช้iยังไม่มีรีวิวรีวิวเปิดพร้อมระบบบัญชีในขั้นถัดไป
ผลตรวจเบื้องต้นของเราiผ่าน 1 จาก 1 ข้อตรวจจากข้อมูลที่เปิดอยู่ ยังไม่ได้สแกนโค้ด
การใช้งานiยังไม่ได้วัด★ –

ใช้ทำอะไรได้

ตัวนี้ยังไม่ได้เรียบเรียงเป็นภาษาไทย ด้านล่างคือข้อเท็จจริงที่เราอ่านจาก registry

การเชื่อมต่อ: บนเครื่องหรือคลาวด์
ช่องทาง (transport): stdio, Streamable HTTP
หมวด: อื่น ๆ
ต้องใส่ค่าเหล่านี้: VDB_API_TOKEN

ติดตั้ง

เลือกโปรแกรม AI ที่คุณใช้ แล้วคัดลอกค่าตั้งไปวาง

ก่อนติดตั้ง

ผลตรวจเบื้องต้น: ผ่าน 1 จาก 1 ข้อ
รันบนเครื่องของผู้ทำ สิ่งที่คุณถามจะผ่านเครื่องของเขา
ค่าที่คุณต้องใส่เอง: VDB_API_URL, VDB_API_TOKEN

ค่าที่ติดป้ายความลับคือกุญแจของบัญชีคุณ อย่าส่งให้ใคร และอย่าวางในแชต

ต้องเตรียมก่อน

รันบนคลาวด์ไม่ต้องลงโปรแกรมเพิ่ม ต่อผ่านอินเทอร์เน็ตได้เลย
PyPIติดตั้ง uv ของ Python (มีคำสั่ง uvx) ในเครื่อง

คุณใช้แอปไหน

ClaudeClaude CodeCursorVS CodeChatGPT

เลือกแอปด้านบน เราจำไว้ให้ ครั้งหน้าปุ่มจะขึ้นว่า “ติดตั้งลง …”

ใช้ได้ทั้ง Claude บนเว็บ แอปคอมพิวเตอร์ และมือถือ:

เปิด Settings → Connectors
กด Add custom connector
วางที่อยู่ด้านล่างแล้วกด Add
ถ้าให้ล็อกอิน ให้ล็อกอินกับผู้ทำ

https://vdb.ai.kr/mcp

หรือรันในเครื่องคุณ

เปิด Claude Desktop → Settings → Developer → Edit Config แล้ววางค่านี้ในไฟล์ claude_desktop_config.json

{
  "mcpServers": {
    "vdb": {
      "command": "uvx",
      "args": [
        "vdb-mcp"
      ],
      "env": {
        "VDB_API_URL": "ใส่ค่าของคุณ",
        "VDB_API_TOKEN": "ใส่ค่าของคุณ"
      }
    }
  }
}

พิมพ์คำสั่งนี้ใน Terminal

claude mcp add --transport http vdb https://vdb.ai.kr/mcp

หรือรันในเครื่องคุณ

claude mcp add vdb --env VDB_API_URL='ใส่ค่าของคุณ' --env VDB_API_TOKEN='ใส่ค่าของคุณ' -- uvx vdb-mcp

เติมค่าที่เว้นว่างไว้ก่อนรัน

เปิดใน Cursor

หรือคัดลอกค่าตั้งเอง

วางในไฟล์ .cursor/mcp.json ของโปรเจกต์ หรือ ~/.cursor/mcp.json

{
  "mcpServers": {
    "vdb": {
      "url": "https://vdb.ai.kr/mcp"
    }
  }
}

หรือรันในเครื่องคุณ

เปิดใน Cursor

หรือคัดลอกค่าตั้งเอง

วางในไฟล์ .cursor/mcp.json ของโปรเจกต์ หรือ ~/.cursor/mcp.json

{
  "mcpServers": {
    "vdb": {
      "command": "uvx",
      "args": [
        "vdb-mcp"
      ],
      "env": {
        "VDB_API_URL": "ใส่ค่าของคุณ",
        "VDB_API_TOKEN": "ใส่ค่าของคุณ"
      }
    }
  }
}

เบราว์เซอร์จะถามก่อนเปิดแอป จากนั้นแอปแสดงค่าตั้งให้ตรวจแล้วกดยืนยัน ช่อง key เว้นว่างไว้ให้คุณใส่เอง

เปิดใน VS Code

หรือคัดลอกค่าตั้งเอง

วางในไฟล์ .vscode/mcp.json ของโปรเจกต์

{
  "servers": {
    "vdb": {
      "type": "http",
      "url": "https://vdb.ai.kr/mcp"
    }
  }
}

หรือรันในเครื่องคุณ

เปิดใน VS Code

หรือคัดลอกค่าตั้งเอง

วางในไฟล์ .vscode/mcp.json ของโปรเจกต์

{
  "servers": {
    "vdb": {
      "type": "stdio",
      "command": "uvx",
      "args": [
        "vdb-mcp"
      ],
      "env": {
        "VDB_API_URL": "ใส่ค่าของคุณ",
        "VDB_API_TOKEN": "ใส่ค่าของคุณ"
      }
    }
  }
}

ChatGPT ต่อได้เฉพาะ server ที่อยู่บนอินเทอร์เน็ต:

เปิด ChatGPT บนเว็บ → Settings → Connectors (Apps)
กด Create หรือ Add (บางแพ็กเกจต้องเปิด Developer mode ใน Advanced ก่อน)
วางที่อยู่ด้านล่าง ตั้งชื่อ แล้วบันทึก
ถ้าให้ล็อกอิน ให้ล็อกอินกับผู้ทำ

https://vdb.ai.kr/mcp

ชื่อเมนูอาจต่างกันเล็กน้อยตามแพ็กเกจและรุ่นของแอป

ตัวเลือกเก็บในคุกกี้บนเครื่องนี้ ไม่ต้องมีบัญชี

ค่าที่ต้องใส่เอง

VDB_API_URL env
VDB instance origin. Defaults to the hosted https://vdb.ai.kr.
VDB_API_TOKEN ความลับ env
Optional vdb_… API key for unmetered per-account access (free at https://vdb.ai.kr/signup). Anonymous use gets a per-IP trial.

ค่าตั้งนี้สร้างจากข้อมูลใน registry ของผู้ทำ ถ้าไม่ตรงกับ README ให้เชื่อ README

ทำอะไรได้บ้าง

ยังไม่ได้อ่านรายการเครื่องมือของตัวนี้ เราตรวจ endpoint ทีละชุดวนไป

ผลตรวจเบื้องต้นi

เราตรวจจากข้อมูลที่ใครก็เปิดดูได้ ยังไม่ได้อ่านโค้ด ข้อที่ไม่เกี่ยวกับตัวนี้ไม่นับในตัวหาร · ตรวจเมื่อ 6 พ.ย. 2569

✓ ผ่าน
ตัวตนผู้ทำตรงกับ repo
ชื่อใน registry ยืนยันโดเมน vdb.ai.kr แล้ว (registry ตรวจความเป็นเจ้าของโดเมน)
… ยังไม่ตรวจ
ยังมีคนดูแล
ยังไม่ได้อ่านข้อมูล repo จาก GitHub
… ยังไม่ตรวจ
มีสัญญาอนุญาต (license)
ยังไม่ได้อ่านข้อมูล repo จาก GitHub
… ยังไม่ตรวจ
endpoint ตอบ
ยังไม่ได้ตรวจ เราตรวจ endpoint ทีละชุดวนไป
… ยังไม่ตรวจ
ล็อกอินแบบ OAuth
ยังไม่ได้ตรวจ เราตรวจ endpoint ทีละชุดวนไป
… ยังไม่ตรวจ
คำอธิบายเครื่องมือไม่มีคำสั่งแอบแฝง
ยังไม่ได้ตรวจ เราอ่านรายการเครื่องมือตอนตรวจ endpoint

เทียบกับตัวอื่นในหมวด อื่น ๆi

ดาวมากกว่า 0% ของอีก 32415 ตัวในหมวดนี้
ส่งรุ่นใหม่เข้า registry ล่าสุดกว่า 77% ของอีก 32415 ตัวในหมวดนี้
ผลตรวจเบื้องต้นดีกว่าหรือเท่ากับ 100% ของอีก 32415 ตัวในหมวดนี้

เทียบกับทุก server ที่ยังใช้งานในหมวดนี้ทั้งทะเบียน ดาวนับเฉพาะเมื่อผู้ลงทะเบียนเป็นเจ้าของ repo

คำถามที่พบบ่อย

Vdb ปลอดภัยไหม?

จากการตรวจเบื้องต้นของเรา ผ่าน 1 จาก 1 ข้อที่ตรวจได้ เรายังไม่ได้อ่านโค้ด ก่อนใส่กุญแจหรือ token ให้ดูว่า server ขอสิทธิ์อะไร และเลือกกุญแจที่ทำได้เท่าที่จำเป็น

ต้องใช้กุญแจหรือรหัสอะไรบ้าง?

ต้องใส่ค่าเหล่านี้: VDB_API_TOKEN

ตัวนี้รันบนเครื่องหรือบนคลาวด์?

ได้ทั้งสองแบบ จะลงในเครื่องหรือต่อผ่านคลาวด์ก็ได้

ยังมีคนดูแลอยู่ไหม?

repo บน GitHub มีการแก้โค้ดล่าสุด – และส่งรุ่นล่าสุด (0.2.8) เข้า registry 10 วันที่ผ่านมา

ใช้กับโปรแกรมไหนได้บ้าง?

โปรแกรมที่รองรับ MCP เช่น Claude Desktop, Claude Code, Cursor และ VS Code ตัวนี้ต่อผ่าน URL จึงใช้กับโปรแกรมที่รับ remote MCP ได้ เช่น ChatGPT ที่เปิดโหมดนักพัฒนา

มีตัวไหนใช้แทนได้บ้าง?

ในหมวดเดียวกันมี Spec Driven Development, Remote Desktop Commander, Safe Fetch

ตัวที่ใช้แทนได้

server หมวดเดียวกันจากผู้ทำคนอื่น เรียงตามดาว

อ่านการ์ด:★ ดาว GitHubiสามเสา: รีวิว · ผลตรวจ · การใช้งานiอัปเดต = วันที่ส่งรุ่นล่าสุดเข้า registryi

Spec Driven Development

โดย formulahendry

MCP Server that facilitates spec-driven development workflows, not just Vibe Coding.

รันบนเครื่อง★ 440MITอัปเดต 14 เดือนที่ผ่านมา

ติดตั้ง

Remote Desktop Commander

โดย desktop-commander

Remote Desktop Commander: use files, terminal and processes on your own computers from any AI app.

รันบนคลาวด์★ 211อัปเดต เมื่อวาน

ติดตั้ง

Safe Fetch

โดย Sanoy24

MCP server for fetching URLs, safe against SSRF, DNS rebinding, and redirect-to-internal attacks.

รันบนเครื่องอัปเดต วันนี้

ติดตั้ง

README จากผู้ทำ

เปิดอ่าน README

ส่วนนี้คัดจาก repo ของผู้ทำตามต้นฉบับ PopNx MCP ไม่ได้ตรวจหรือรับรองเนื้อหา ตัด HTML รูปภาพ และสคริปต์ออกแล้ว ลิงก์จะพาออกนอกเว็บ

vdb-mcp

mcp-name: kr.ai.vdb/vdb

MCP (Model Context Protocol) server for [VDB](https://vdb.ai.kr) — the AI-aware vulnerability database. Lets Claude Desktop, Claude Code, Cursor, Cline, Continue, and any MCP client check packages while generating code: known CVEs, slopsquatting (LLM-hallucinated package names an attacker may have registered), CISA KEV status, MCP-server trust profiles, and more.

Quick start

Where this works: Runs where your code is: an agent on your machine with the project folder (Claude Code, Cursor, Cline, Codex CLI). A chat-only web AI cannot use it — its sandbox has no outbound network, and it cannot see your files.

uvx vdb-mcp          # or: pipx run vdb-mcp

Claude Desktop (claude_desktop_config.json) / Cursor (.cursor/mcp.json):

"mcpServers": { "vdb": { "command": "uvx", "args": ["vdb-mcp"] } } }

No install at all — point any streamable-HTTP MCP client at the hosted endpoint:

"mcpServers": { "vdb": { "url": "https://vdb.ai.kr/mcp", "headers": { "Authorization": "Bearer vdb_..." } } } }

Claude Code: claude mcp add --transport http vdb https://vdb.ai.kr/mcp --header "Authorization: Bearer $VDB_API_KEY". The hosted endpoint reads the key from that header (0.2.3+; the vdbApiToken query parameter Smithery sets still works and takes precedence).

That's it — the server talks to the hosted instance at https://vdb.ai.kr by default. The package gate (vdb_check_package, vdb_check_packages, vdb_list_slopsquatting) and the hardening tools (vdb_harden, vdb_harden_remediate, vdb_harden_verify, vdb_vex) answer without a key on a per-address allowance (0.2.8+; 100 packages an hour, 3 analyses an hour and 10 a day, projects up to 200 dependencies, nothing stored). The other tools need a free API key (https://vdb.ai.kr/signup, or the agent can request one by email itself: without a key those tools answer agent_action: REFUSE with a request_key_url). A key is currently unmetered beyond abuse protection:

"mcpServers": { "vdb": { "command": "uvx", "args": ["vdb-mcp"], "env": { "VDB_API_TOKEN": "vdb_..." } } } }

Tools

Tool	What it does
`vdb_check_package`	Check one package (purl + optional version) for vulnerabilities, slop risk, KEV
`vdb_check_packages`	Bulk slopsquatting / risk check for a list of packages
`vdb_scan_lockfile`	Merge verdict for a whole lockfile / SBOM (transitives included)
`vdb_lookup`	Fetch one advisory by ID (CVE-…, GHSA-…, VDB-SLOP-…)
`vdb_search`	Free-text search over the vulnerability corpus
`vdb_check_mcp_server`	Trust tier + permission scopes of a community MCP server
`vdb_list_slopsquatting`	Current slopsquatting candidates per ecosystem
`vdb_harden` (local only)	Call-site hardening: can attacker data reach a dangerous sink through your dependencies? Source never leaves the machine
`vdb_harden_verify` (local only)	Re-analyze after a fix and get signed evidence the path is closed (without a key: pass `original_path`, the pre-fix file; the decision comes back unsigned)
`vdb_harden_remediate` (local only)	Rank what to fix first: upgrade / harden / remove / policy candidates by project risk removed per cost, plus the combination that reaches a target (0.2.7+)
`vdb_vex` (local only)	OpenVEX document: which advisories cannot be reached

The four local-only tools need your files, so the hosted endpoint does not offer them — seven tools remote, eleven with uvx vdb-mcp.

The `vdb harden` command

The same package installs the CLI behind the local tools, for use without an MCP client (0.2.2 or newer):

uvx --from vdb-mcp vdb harden app.py --manifest uv.lock   # analyze a call site

uvx --from vdb-mcp vdb harden --doctor # which of network / key / service is at fault uvx --from vdb-mcp vdb harden ./src --manifest uv.lock --vex uvx --from vdb-mcp vdb harden app.py --manifest uv.lock --remediate --target 0.2 # what to fix first uvx --from vdb-mcp vdb harden ./src --manifest requirements.txt --exclude tests --exclude "*-fixtures" uvx --from vdb-mcp vdb harden app.py --manifest uv.lock --verify P-… --original /tmp/before/app.py # keyless re-verification

It works without a key (0.2.8+): three analyses an hour and ten a day per address, nothing stored, upgrades estimated. VDB_API_KEY keeps the project, re-scores it when a package on a path changes, and signs the evidence.

Where PyPI is unreachable, https://vdb.ai.kr/v1/harden/client.pyz is the same CLI as one stdlib-only file (hash at /v1/harden/client.sha256): python3 client.pyz --doctor. Nothing to install.

Environment

Variable	Default	Meaning
`VDB_API_URL`	`https://vdb.ai.kr`	VDB instance to query (set for self-hosted)
`VDB_API_TOKEN`	(empty)	`vdb_…` API key — lifts the keyless limits; required for lookup, search and SBOM scanning
`VDB_PROXY_TOKEN`	(empty)	Hosted endpoint only (0.2.9+): a secret shared with the API so it believes the visitor address this server forwards, and keyless visitors are counted each as themselves. Grants nothing else; leave unset locally
`VDB_API_ADDR`	`144.202.127.83`	Where VDB lives when this machine's DNS cannot say — see below
`MCP_MODE`	`stdio`	`stdio` or `sse` (long-running HTTP server)
`MCP_PORT`	`7700`	SSE port

No outbound DNS?

Sandboxes often allow egress but not name resolution. When — and only when — resolving vdb.ai.kr fails, the server retries against VDB_API_ADDR. That bypasses DNS and nothing else: the TLS handshake still presents the real hostname and validates its certificate, so a pinned connection is exactly as authenticated as a resolved one. HTTP errors, refused connections and timeouts are never retried — the name resolved, so the address would be the same box.

Why

LLMs hallucinate package names; attackers register them (slopsquatting). LLMs also happily recommend packages with known RCEs. VDB gives your agent a guardrail: one tool call before npm install / pip install. See https://vdb.ai.kr/connect for the one-line prompt variant that needs no MCP at all.

License

Elastic License 2.0 — free to use, including inside commercial organizations and CI. The only restrictions: you may not offer this software to third parties as a hosted or managed service, or resell it as a product. Commercial licensing beyond that: . API usage is governed by the VDB service terms regardless of how you call it.

Vdb

ภาพรวม

สามเสาของ PopNx MCP

ใช้ทำอะไรได้

ติดตั้ง

ก่อนติดตั้ง

หรือรันในเครื่องคุณ

หรือรันในเครื่องคุณ

หรือรันในเครื่องคุณ

หรือรันในเครื่องคุณ

ค่าที่ต้องใส่เอง

ทำอะไรได้บ้าง

ผลตรวจเบื้องต้นi

ตัวตนผู้ทำตรงกับ repo

ยังมีคนดูแล

มีสัญญาอนุญาต (license)

endpoint ตอบ

ล็อกอินแบบ OAuth

คำอธิบายเครื่องมือไม่มีคำสั่งแอบแฝง

เทียบกับตัวอื่นในหมวด อื่น ๆi

คำถามที่พบบ่อย

ตัวที่ใช้แทนได้

Spec Driven Development

Remote Desktop Commander

Safe Fetch

README จากผู้ทำ

vdb-mcp

Quick start

Tools

The vdb harden command

Environment

No outbound DNS?

Why

License

The `vdb harden` command