io.github.cyanheads/osv-advisory-mcp-server

材料中仅要求 OSV_REQUEST_TIMEOUT_MS 与 MCP_LOG_LEVEL，这两项属于超时与日志级别配置，未见 API key、token 或其他高敏感凭证要求；凭证滥用面较小。

工具声明用于查询 OSV.dev，但实际远程端点为 osv-advisory.caseyjhand.com，说明请求可能先发往第三方中间服务。若用户提交依赖清单或包名，这些内容可能被外发到该域名；建议核验其与声明功能的一致性及隐私处理方式。

作为 MCP 工具，系统已标注其会执行代码/起本地进程；这是此类工具的常规能力。材料未显示其申请额外高危系统权限，也未见超出漏洞查询用途的执行面描述。

描述仅显示其查询漏洞信息并批量审计依赖列表，未见声明可读取任意本地文件、写入磁盘或访问无关系统资源。基于现有材料，数据访问范围未显示过度授权迹象。

正面因素包括官方 Registry 上架、开源、近一年内有更新，源码原则上可审计；但 README 缺失、许可证未声明、社区采用度很低（0 star），可审计性与成熟度仍需人工复核。