VULNRΞPO - Generador y Repositorio de Informes de Vulnerabilidades

Un gestor de informes de vulnerabilidades del lado del cliente, centrado en la privacidad para profesionales de la seguridad. Todos los datos se cifran y almacenan localmente en su navegador; por defecto, no se envía nada a ningún servidor.

App en vivo: https://vulnrepo.com/ | Rama dev: https://dev.vulnrepo.com/

Video tutorial / Guía:

Tabla de Contenidos

• Características
• Modelo de Seguridad
• Fuentes de Importación Soportadas
• Formatos de Exportación de Informes
• Herramientas de Metodología
• Integración con IA / LLM
• Primeros Pasos
  • Requisitos Previos
  • Servidor de Desarrollo
  • Compilación de Producción
  • Docker
• Estructura del Proyecto
• Integración API
• Soporte de Navegadores
• Contribución
• Licencia

Características

• Cifrado del lado del cliente — los informes se cifran en el navegador antes del almacenamiento; no se requiere backend
• Plantillas de incidencias — cree y reutilice plantillas personalizadas de vulnerabilidades; importe desde CVE, CWE, MITRE ATT&CK y PCI DSS
• Importación de escáneres — importe hallazgos directamente desde herramientas de seguridad populares (ver Fuentes de Importación Soportadas)
• Múltiples formatos de exportación — TXT, HTML, DOCX; genere PDF mediante la impresión del navegador
• Exportación HTML cifrada — comparta un informe HTML autocontenido cifrado con AES
• Archivos adjuntos — adjunte capturas de pantalla, salidas de herramientas o cualquier archivo; el checksum SHA-256 se calcula automáticamente
• Registro de cambios — todos los cambios significativos en el informe se versionan y registran automáticamente
• Exportación de incidencias — exporte incidencias a Atlassian Jira o como un archivo cifrado portátil
• Compartir informes — comparta un informe cifrado completo con colaboradores
• Perfiles de informe — guarde configuraciones reutilizables de informes (logotipo, información del investigador, tema, CSS)
• Personalización de plantillas — edite la plantilla HTML del informe y el CSS directamente en la aplicación
• Herramientas de metodología — listas de verificación integradas para OWASP ASVS 4, PCI DSS 4 y The Bug Hunter's Methodology (TBHM)
• Búsqueda CVE — consulte la base de datos NIST NVD y extraiga detalles de CVE en su informe
• Historial de informes — instantáneas versionadas automáticas de cada guardado
• Fusión de incidencias — fusione incidencias duplicadas o relacionadas
• Filtro avanzado — filtre y busque incidencias por gravedad, estado, etiquetas, CVE, CVSS y más
• Lista de bug bounty — lista de referencia de programas de bug bounty
• Integración con IA / LLM — conecte un modelo Ollama local para redacción asistida por IA de informes (ver Integración con IA / LLM)
• Backend opcional — almacene informes cifrados en su propio servidor a través de la API REST (ver Integración API)

Modelo de Seguridad

VULNRΞPO utiliza exclusivamente criptografía nativa del navegador:

Vida útil de la clave y bloqueo automático

Las contraseñas de descifrado se mantienen en un almacén de memoria de corta duración (KeyVaultService) que se limpia automáticamente cuando ocurre cualquiera de los siguientes eventos:

• Pestaña oculta — la pestaña del navegador pierde el foco o se cambia a otra (evento visibilitychange)
• Pestaña cerrada / recarga de página — eventos pagehide y beforeunload
• Inactividad — 15 minutos sin entrada de teclado, ratón o táctil

Una vez que se limpia el almacén, al reabrir un informe se solicitará la contraseña nuevamente. Ningún material de clave se escribe nunca en sessionStorage, localStorage, cookies ni ningún otro almacenamiento persistente del navegador.

Los informes cifrados con versiones anteriores de la aplicación (formato AES CryptoJS heredado) se detectan y descifran automáticamente para mantener la compatibilidad hacia atrás.

Importante: No existe recuperación de clave del lado del servidor. Si pierde su clave de seguridad, los datos del informe no se pueden recuperar.

Fuentes de Importación Soportadas

Formatos de Exportación de Informes

Herramientas de Metodología

Las siguientes listas de verificación interactivas están disponibles desde la barra lateral:

• OWASP ASVS 4 — Estándar de Verificación de Seguridad de Aplicaciones
• PCI DSS 4 — Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago
• TBHM — The Bug Hunter's Methodology (Metodología del Cazador de Bugs)

Úselas durante una evaluación para asegurarse de que no se omita nada antes de finalizar el informe.

Integración con IA / LLM

VULNRΞPO se integra con Ollama para proporcionar redacción asistida por IA de informes utilizando un modelo alojado localmente. No se envían datos a ningún servicio en la nube.

Configuración:

1. Instale Ollama desde ollama.com.
2. Descargue y ejecute un modelo:
   root@kitploit:~

   ollama run llama3.2:latest
   

3. Permita que el origen de VULNRΞPO acceda a Ollama. Si usa la aplicación alojada, configure la variable de entorno antes de iniciar Ollama:
   root@kitploit:~

   OLLAMA_ORIGINS=https://vulnrepo.com ollama serve
   

4. En VULNRΞPO, abra Configuración de IA (icono de robot en la barra de herramientas del informe), ingrese su URL de Ollama (http://localhost:11434 por defecto), seleccione un modelo y guarde.

Primeros Pasos

Requisitos Previos

• Node.js 18 o posterior
• Angular CLI 22:
  root@kitploit:~

  npm install -g @angular/cli
  

Servidor de Desarrollo

# Instalar dependencias
npm install

# Iniciar el servidor de desarrollo
npm start
# o
ng serve

Navegue a http://localhost:4200/. La aplicación se recarga automáticamente cuando los archivos fuente cambian.

Compilación de Producción

ng build -c production

Los artefactos de compilación se escriben en dist/vulnrepo-app/. Despliegue el contenido de ese directorio en cualquier servidor web estático o CDN.

Docker

La imagen oficial de Docker está disponible en Docker Hub:

docker pull kac89/vulnrepo
docker run -p 8080:80 kac89/vulnrepo

Consulte la página de la imagen para obtener documentación completa: https://hub.docker.com/r/kac89/vulnrepo

Estructura del Proyecto

vulnrepo-master/
├── src/
│   ├── app/
│   │   ├── report/                   # Componente central del editor de informes
│   │   ├── myreports/                # Lista de informes / panel de control
│   │   ├── newreport/                # Asistente para crear informes
│   │   ├── import-report/            # Importar archivo de informe cifrado
│   │   ├── templates-list/           # Gestor de plantillas de incidencias
│   │   ├── settings/                 # Configuración de la aplicación (perfiles, almacén API)
│   │   ├── asvs/                     # Lista de verificación OWASP ASVS 4
│   │   ├── pcidss4/                  # Lista de verificación PCI DSS 4
│   │   ├── tbhm/                     # Lista de verificación de la Metodología del Cazador de Bugs (TBHM)
│   │   ├── cve-search/               # Consulta CVE de NVD
│   │   ├── bb-list/                  # Lista de programas de bug bounty
│   │   ├── faq/                      # Página de preguntas frecuentes dentro de la aplicación
│   │   ├── crypto-utils.service.ts   # Servicio de cifrado PBKDF2 + AES-GCM
│   │   ├── indexeddb.service.ts      # Servicio de almacenamiento local (IndexedDB)
│   │   ├── api.service.ts            # Servicio API de backend opcional
│   │   ├── ollama-service.service.ts # Servicio de integración con Ollama LLM
│   │   └── dialog-*/                 # Diálogos modales (agregar incidencia, importar, exportar, …)
│   ├── assets/                       # Recursos estáticos, logotipos de proveedores
│   └── environments/                 # Configuraciones de entorno
├── dist/                             # Salida de compilación de producción
├── API-INTEGRATION.md                # Documentación de la API de backend
├── SECURITY.md                       # Política de reporte de vulnerabilidades
├── angular.json
└── package.json

Integración API

VULNRΞPO puede opcionalmente almacenar informes cifrados en su propio servidor backend. La API es una interfaz HTTP simple con un esquema de autenticación basado en cabeceras personalizadas.

Consulte API-INTEGRATION.md para la referencia completa de la API.

Hay una implementación de servidor de ejemplo disponible en: https://github.com/kac89/vulnrepo-server

Soporte de Navegadores

VULNRΞPO requiere un navegador moderno con soporte para IndexedDB y Web Crypto API. No funciona en modo de navegación privada/incógnito (IndexedDB está bloqueado por la mayoría de los navegadores en ese modo).

Probado y compatible:

• Google Chrome (última versión)
• Mozilla Firefox (última versión)
• Microsoft Edge (Chromium, última versión)
• Safari en iOS (última versión)
• Chrome en Android (última versión)

Contribución

1. Haga un fork del repositorio y cree una rama de funcionalidad desde dev.
2. Realice sus cambios y asegúrese de que la aplicación se compile sin errores (ng build).
3. Envíe una solicitud de extracción (pull request) contra la rama dev.

Para reportar una vulnerabilidad de seguridad, consulte SECURITY.md.

Licencia

VULNRΞPO se publica bajo la Licencia Apache 2.0.