VULNRΞPO - Generator für Sicherheitsberichte & Repository

Ein clientseitiger, datenschutzorientierter Schwachstellenbericht-Manager für Sicherheitsexperten. Alle Daten werden verschlüsselt und lokal im Browser gespeichert – standardmäßig wird nichts an einen Server gesendet.

Live-App: https://vulnrepo.com/ | Dev-Branch: https://dev.vulnrepo.com/

Video-Durchlauf / Tutorial:

Inhaltsverzeichnis

• Funktionen
• Sicherheitsmodell
• Unterstützte Importquellen
• Berichtsexportformate
• Methodik-Werkzeuge
• KI/LLM-Integration
• Erste Schritte
  • Voraussetzungen
  • Entwicklungsserver
  • Produktions-Build
  • Docker
• Projektstruktur
• API-Integration
• Browserunterstützung
• Mitwirken
• Lizenz

Funktionen

• Clientseitige Verschlüsselung – Berichte werden vor der Speicherung im Browser verschlüsselt; kein Backend erforderlich
• Issue-Vorlagen – Erstellen und wiederverwenden von benutzerdefinierten Schwachstellen-Vorlagen; Import von CVE, CWE, MITRE ATT&CK und PCI DSS
• Scanner-Importe – Ergebnisse direkt aus gängigen Sicherheitstools importieren (siehe Unterstützte Importquellen)
• Mehrere Exportformate – TXT, HTML, DOCX; PDF über Browser-Druckfunktion erzeugen
• Verschlüsselter HTML-Export – Teilen eines AES-verschlüsselten, eigenständigen HTML-Berichts
• Dateianhänge – Screenshots, Tool-Ausgaben oder beliebige Dateien anhängen; SHA-256-Prüfsumme wird automatisch berechnet
• Änderungsprotokoll – Alle wesentlichen Berichtsänderungen werden versioniert und automatisch protokolliert
• Issue-Export – Exportieren von Issues nach Atlassian Jira oder als portable verschlüsselte Datei
• Bericht freigeben – Teilen eines vollständig verschlüsselten Berichts mit Mitarbeitern
• Berichtsprofile – Speichern wiederverwendbarer Berichtskonfigurationen (Logo, Forscherinfo, Design, CSS)
• Vorlagenanpassung – Bearbeiten der HTML-Berichtsvorlage und des CSS direkt in der App
• Methodik-Werkzeuge – Integrierte Checklisten für OWASP ASVS 4, PCI DSS 4 und The Bug Hunter's Methodology (TBHM)
• CVE-Suche – Abfrage der NIST-NVD-Datenbank und Einfügen von CVE-Details in den Bericht
• Berichtsverlauf – Automatische versionierte Schnappschüsse bei jedem Speichern
• Issue-Zusammenführung – Zusammenführen doppelter oder verwandter Issues
• Erweiterter Filter – Filtern und Durchsuchen von Issues nach Schweregrad, Status, Tags, CVE, CVSS und mehr
• Bug-Bounty-Liste – Referenzliste von Bug-Bounty-Programmen
• KI/LLM-Integration – Verbindung mit einem lokalen Ollama-Modell für KI-gestützte Berichtserstellung (siehe KI/LLM-Integration)
• Optionaler Backend – Verschlüsselte Berichte auf eigenem Server über die REST-API speichern (siehe API-Integration)

Sicherheitsmodell

VULNRΞPO verwendet ausschließlich browser-native Kryptographie:

Schlüssellebensdauer und automatische Sperrung

Entschlüsselungskennwörter werden in einem kurzlebigen In-Memory-Tresor (KeyVaultService) gehalten, der automatisch gelöscht wird, wenn eines der folgenden Ereignisse eintritt:

• Tab ausgeblendet – Der Browser-Tab verliert den Fokus oder wird gewechselt (visibilitychange-Ereignis)
• Tab geschlossen / Seite neu geladen – pagehide- und beforeunload-Ereignisse
• Inaktivität – 15 Minuten ohne Tastatur-, Maus- oder Touch-Eingabe

Nachdem der Tresor geleert wurde, wird beim erneuten Öffnen eines Berichts erneut nach dem Kennwort gefragt. Es wird niemals Schlüsselmaterial in sessionStorage, localStorage, Cookies oder einem anderen dauerhaften Browserspeicher abgelegt.

Mit älteren Versionen der App verschlüsselte Berichte (Legacy-CryptoJS-AES-Format) werden automatisch erkannt und aus Kompatibilitätsgründen entschlüsselt.

Wichtig: Es gibt keine serverseitige Schlüsselwiederherstellung. Wenn Sie Ihren Sicherheitsschlüssel verlieren, können die Berichtsdaten nicht wiederhergestellt werden.

Unterstützte Importquellen

Berichtsexportformate

Methodik-Werkzeuge

Die folgenden interaktiven Checklisten sind in der Seitenleiste verfügbar:

• OWASP ASVS 4 – Application Security Verification Standard
• PCI DSS 4 – Payment Card Industry Data Security Standard
• TBHM – The Bug Hunter's Methodology

Verwenden Sie sie während einer Bewertung, um sicherzustellen, dass nichts übersehen wird, bevor der Bericht fertiggestellt wird.

KI / LLM-Integration

VULNRΞPO integriert sich in Ollama, um KI-gestützte Berichtserstellung mit einem lokal gehosteten Modell zu ermöglichen. Es werden keine Daten an einen Cloud-Dienst gesendet.

Einrichtung:

1. Installieren Sie Ollama von ollama.com.
2. Ziehen Sie ein Modell und führen Sie es aus:
   root@kitploit:~

   ollama run llama3.2:latest
   

3. Erlauben Sie dem VULNRΞPO-Ursprung den Zugriff auf Ollama. Wenn Sie die gehostete App verwenden, setzen Sie die Umgebungsvariable vor dem Start von Ollama:
   root@kitploit:~

   OLLAMA_ORIGINS=https://vulnrepo.com ollama serve
   

4. Öffnen Sie in VULNRΞPO die KI-Einstellungen (Roboter-Symbol in der Berichts-Symbolleiste), geben Sie Ihre Ollama-URL ein (standardmäßig http://localhost:11434), wählen Sie ein Modell aus und speichern Sie.

Erste Schritte

Voraussetzungen

• Node.js 18 oder höher
• Angular CLI 22:
  root@kitploit:~

  npm install -g @angular/cli
  

Entwicklungsserver

# Abhängigkeiten installieren
npm install

# Dev-Server starten
npm start
# oder
ng serve

Navigieren Sie zu http://localhost:4200/. Die Anwendung wird automatisch neu geladen, wenn sich Quelldateien ändern.

Produktions-Build

ng build -c production

Build-Artefakte werden in dist/vulnrepo-app/ geschrieben. Stellen Sie den Inhalt dieses Verzeichnisses auf einem beliebigen statischen Webhost oder CDN bereit.

Docker

Das offizielle Docker-Image ist auf Docker Hub verfügbar:

docker pull kac89/vulnrepo
docker run -p 8080:80 kac89/vulnrepo

Die vollständige Dokumentation finden Sie auf der Image-Seite: https://hub.docker.com/r/kac89/vulnrepo

Projektstruktur

vulnrepo-master/
├── src/
│   ├── app/
│   │   ├── report/                   # Kernkomponente des Berichtseditors
│   │   ├── myreports/                # Berichtsliste / Dashboard
│   │   ├── newreport/                # Assistent zum Erstellen von Berichten
│   │   ├── import-report/            # Import einer verschlüsselten Berichtsdatei
│   │   ├── templates-list/           # Manager für Issue-Vorlagen
│   │   ├── settings/                 # App-Einstellungen (Profile, API-Tresor)
│   │   ├── asvs/                     # OWASP ASVS 4-Checkliste
│   │   ├── pcidss4/                  # PCI DSS 4-Checkliste
│   │   ├── tbhm/                     # Bug Hunter's Methodology-Checkliste
│   │   ├── cve-search/               # NVD-CVE-Suche
│   │   ├── bb-list/                  # Liste der Bug-Bounty-Programme
│   │   ├── faq/                      # In-App-FAQ-Seite
│   │   ├── crypto-utils.service.ts   # PBKDF2 + AES-GCM-Verschlüsselungsdienst
│   │   ├── indexeddb.service.ts      # Lokaler Speicherdienst (IndexedDB)
│   │   ├── api.service.ts            # Optionaler Backend-API-Dienst
│   │   ├── ollama-service.service.ts # Ollama-LLM-Integrationsdienst
│   │   └── dialog-*/                 # Modale Dialoge (Issue hinzufügen, importieren, exportieren, …)
│   ├── assets/                       # Statische Assets, Anbieterlogos
│   └── environments/                 # Umgebungskonfigurationen
├── dist/                             # Ausgabe des Produktions-Builds
├── API-INTEGRATION.md                # Backend-API-Referenz
├── SECURITY.md                       # Richtlinie zur Meldung von Sicherheitslücken
├── angular.json
└── package.json

API-Integration

VULNRΞPO kann optional verschlüsselte Berichte auf Ihrem eigenen Backend-Server speichern. Die API ist eine einfache HTTP-Schnittstelle mit einem benutzerdefinierten headerbasierten Authentifizierungsschema.

Die vollständige API-Referenz finden Sie unter API-INTEGRATION.md.

Eine Beispiel-Serverimplementierung ist verfügbar unter: https://github.com/kac89/vulnrepo-server

Browserunterstützung

VULNRΞPO benötigt einen modernen Browser mit Unterstützung für IndexedDB und Web Crypto API. Es funktioniert nicht im privaten/Inkognito-Modus (IndexedDB wird von den meisten Browsern in diesem Modus blockiert).

Getestet und unterstützt:

• Google Chrome (aktuellste Version)
• Mozilla Firefox (aktuellste Version)
• Microsoft Edge (Chromium, aktuellste Version)
• Safari auf iOS (aktuellste Version)
• Chrome auf Android (aktuellste Version)

Mitwirken

1. Forken Sie das Repository und erstellen Sie einen Feature-Branch von dev.
2. Nehmen Sie Ihre Änderungen vor und stellen Sie sicher, dass die App fehlerfrei erstellt wird (ng build).
3. Reichen Sie einen Pull-Request gegen den dev-Branch ein.

Um eine Sicherheitslücke zu melden, lesen Sie SECURITY.md.

Lizenz

VULNRΞPO wird unter der Apache 2.0-Lizenz veröffentlicht.