VULNRΞPO - Générateur de rapports de vulnérabilités et référentiel

Un gestionnaire de rapports de vulnérabilités côté client, axé sur la confidentialité, destiné aux professionnels de la sécurité. Toutes les données sont chiffrées et stockées localement dans votre navigateur — rien n'est envoyé à un serveur par défaut.

Application en ligne : https://vulnrepo.com/ | Branche de développement : https://dev.vulnrepo.com/

Vidéo de démonstration / Tutoriel :

Table des matières

• Fonctionnalités
• Modèle de sécurité
• Sources d'importation prises en charge
• Formats d'exportation de rapports
• Outils méthodologiques
• Intégration IA / LLM
• Pour commencer
  • Prérequis
  • Serveur de développement
  • Build de production
  • Docker
• Structure du projet
• Intégration API
• Navigateurs pris en charge
• Contribuer
• Licence

Fonctionnalités

• Chiffrement côté client — les rapports sont chiffrés dans le navigateur avant le stockage ; aucun backend requis
• Modèles de vulnérabilités — créez et réutilisez des modèles personnalisés ; importez depuis CVE, CWE, MITRE ATT&CK et PCI DSS
• Importation de scanners — importez les résultats directement depuis des outils de sécurité populaires (voir Sources d'importation prises en charge)
• Formats d'exportation multiples — TXT, HTML, DOCX ; génération de PDF via l'impression du navigateur
• Exportation HTML chiffré — partagez un rapport HTML autonome chiffré en AES
• Pièces jointes — joignez des captures d'écran, des sorties d'outils ou tout fichier ; une somme de contrôle SHA-256 est calculée automatiquement
• Journal des modifications — toutes les modifications importantes du rapport sont versionnées et enregistrées automatiquement
• Exportation de vulnérabilités — exportez les vulnérabilités vers Atlassian Jira ou sous forme de fichier chiffré portable
• Partage de rapport — partagez un rapport complet chiffré avec des collaborateurs
• Profils de rapport — enregistrez des configurations réutilisables (logo, informations du chercheur, thème, CSS)
• Personnalisation du modèle — modifiez le modèle de rapport HTML et le CSS directement dans l'application
• Outils méthodologiques — listes de contrôle intégrées pour OWASP ASVS 4, PCI DSS 4 et The Bug Hunter's Methodology (TBHM)
• Recherche CVE — interrogez la base de données NIST NVD et récupérez les détails des CVE dans votre rapport
• Historique du rapport — instantanés versionnés automatiques à chaque sauvegarde
• Fusion de vulnérabilités — fusionnez des vulnérabilités en double ou liées
• Filtre avancé — filtrez et recherchez les vulnérabilités par sévérité, statut, étiquettes, CVE, CVSS, etc.
• Liste de programmes bug bounty — liste de référence des programmes de bug bounty
• Intégration IA / LLM — connectez un modèle Ollama local pour une rédaction assistée par IA (voir Intégration IA / LLM)
• Backend optionnel — stockez les rapports chiffrés sur votre propre serveur via l'API REST (voir Intégration API)

Modèle de sécurité

VULNRΞPO utilise exclusivement la cryptographie native du navigateur :

Durée de vie de la clé et verrouillage automatique

Les mots de passe de déchiffrement sont conservés dans un coffre mémoire de courte durée (KeyVaultService) qui est effacé automatiquement lorsque l'un des événements suivants se produit :

• Onglet masqué — l'onglet du navigateur perd le focus ou est changé (événement visibilitychange)
• Onglet fermé / rechargement de page — événements pagehide et beforeunload
• Inactivité — 15 minutes sans saisie clavier, souris ou tactile

Après la suppression du coffre, la réouverture d'un rapport demande à nouveau le mot de passe. Aucun matériel de clé n'est jamais écrit dans sessionStorage, localStorage, les cookies ou tout autre stockage persistant du navigateur.

Les rapports chiffrés avec des versions antérieures de l'application (format AES CryptoJS hérité) sont automatiquement détectés et déchiffrés pour assurer la rétrocompatibilité.

Important : Il n'existe aucun mécanisme de récupération de clé côté serveur. Si vous perdez votre clé de sécurité, les données du rapport ne peuvent pas être récupérées.

Sources d'importation prises en charge

Formats d'exportation de rapports

Outils méthodologiques

Les listes de contrôle interactives suivantes sont disponibles depuis la barre latérale :

• OWASP ASVS 4 — Application Security Verification Standard
• PCI DSS 4 — Payment Card Industry Data Security Standard
• TBHM — The Bug Hunter's Methodology

Utilisez-les lors d'une évaluation pour vous assurer de ne rien oublier avant de finaliser le rapport.

Intégration IA / LLM

VULNRΞPO s'intègre à Ollama pour fournir une rédaction assistée par IA à l'aide d'un modèle hébergé localement. Aucune donnée n'est envoyée à un service cloud.

Configuration :

1. Installez Ollama depuis ollama.com.
2. Téléchargez et exécutez un modèle :
   root@kitploit:~

   ollama run llama3.2:latest
   

3. Autorisez l'origine VULNRΞPO à accéder à Ollama. Si vous utilisez l'application hébergée, définissez la variable d'environnement avant de démarrer Ollama :
   root@kitploit:~

   OLLAMA_ORIGINS=https://vulnrepo.com ollama serve
   

4. Dans VULNRΞPO, ouvrez Paramètres IA (icône de robot dans la barre d'outils du rapport), saisissez votre URL Ollama (http://localhost:11434 par défaut), sélectionnez un modèle et enregistrez.

Pour commencer

Prérequis

• Node.js 18 ou ultérieur
• Angular CLI 22 :
  root@kitploit:~

  npm install -g @angular/cli
  

Serveur de développement

# Installer les dépendances
npm install

# Démarrer le serveur de développement
npm start
# ou
ng serve

Naviguez vers http://localhost:4200/. L'application se recharge automatiquement lorsque les fichiers sources sont modifiés.

Build de production

ng build -c production

Les artefacts de build sont écrits dans dist/vulnrepo-app/. Déployez le contenu de ce répertoire sur n'importe quel hébergeur statique ou CDN.

Docker

L'image Docker officielle est disponible sur Docker Hub :

docker pull kac89/vulnrepo
docker run -p 8080:80 kac89/vulnrepo

Consultez la page de l'image pour la documentation complète : https://hub.docker.com/r/kac89/vulnrepo

Structure du projet

vulnrepo-master/
├── src/
│   ├── app/
│   │   ├── report/                   # Composant principal de l'éditeur de rapports
│   │   ├── myreports/                # Liste des rapports / tableau de bord
│   │   ├── newreport/                # Assistant de création de rapport
│   │   ├── import-report/            # Importation de fichier de rapport chiffré
│   │   ├── templates-list/           # Gestionnaire de modèles de vulnérabilités
│   │   ├── settings/                 # Paramètres de l'application (profils, coffre API)
│   │   ├── asvs/                     # Liste de contrôle OWASP ASVS 4
│   │   ├── pcidss4/                  # Liste de contrôle PCI DSS 4
│   │   ├── tbhm/                     # Liste de contrôle Bug Hunter's Methodology
│   │   ├── cve-search/               # Recherche CVE NVD
│   │   ├── bb-list/                  # Liste des programmes bug bounty
│   │   ├── faq/                      # Page FAQ intégrée
│   │   ├── crypto-utils.service.ts   # Service de chiffrement PBKDF2 + AES-GCM
│   │   ├── indexeddb.service.ts      # Service de stockage local (IndexedDB)
│   │   ├── api.service.ts            # Service API backend optionnel
│   │   ├── ollama-service.service.ts # Service d'intégration Ollama LLM
│   │   └── dialog-*/                 # Boîtes de dialogue modales (ajout de vulnérabilité, import, export, …)
│   ├── assets/                       # Ressources statiques, logos des fournisseurs
│   └── environments/                 # Configurations d'environnement
├── dist/                             # Sortie du build de production
├── API-INTEGRATION.md                # Référence de l'API backend
├── SECURITY.md                       # Politique de signalement de vulnérabilités
├── angular.json
└── package.json

Intégration API

VULNRΞPO peut éventuellement stocker des rapports chiffrés sur votre propre serveur backend. L'API est une interface HTTP simple avec un schéma d'authentification personnalisé basé sur les en-têtes.

Consultez API-INTEGRATION.md pour la référence complète de l'API.

Un exemple d'implémentation du serveur est disponible à l'adresse : https://github.com/kac89/vulnrepo-server

Navigateurs pris en charge

VULNRΞPO nécessite un navigateur moderne avec le support de IndexedDB et de l'API Web Crypto. Il ne fonctionne pas en mode de navigation privée/incognito (IndexedDB est bloqué par la plupart des navigateurs dans ce mode).

Testé et pris en charge :

• Google Chrome (dernière version)
• Mozilla Firefox (dernière version)
• Microsoft Edge (Chromium, dernière version)
• Safari sur iOS (dernière version)
• Chrome sur Android (dernière version)

Contribuer

1. Forkez le dépôt et créez une branche de fonctionnalité à partir de dev.
2. Apportez vos modifications et assurez-vous que l'application se compile sans erreur (ng build).
3. Soumettez une pull request vers la branche dev.

Pour signaler une vulnérabilité de sécurité, consultez SECURITY.md.

Licence

VULNRΞPO est publié sous la Licence Apache 2.0.