VULNRΞPO - Generatore di Report di Vulnerabilità e Repository

Un gestore di report di vulnerabilità lato client, incentrato sulla privacy, per professionisti della sicurezza. Tutti i dati vengono crittografati e memorizzati localmente nel tuo browser — per impostazione predefinita nulla viene inviato a nessun server.

App live: https://vulnrepo.com/ | Branch di sviluppo: https://dev.vulnrepo.com/

Video dimostrativo / Tutorial:

Indice

• Funzionalità
• Modello di Sicurezza
• Fonti di Importazione Supportate
• Formati di Esportazione Report
• Strumenti Metodologici
• Integrazione AI / LLM
• Per Iniziare
  • Prerequisiti
  • Server di Sviluppo
  • Build di Produzione
  • Docker
• Struttura del Progetto
• Integrazione API
• Supporto Browser
• Contribuire
• Licenza

Funzionalità

• Crittografia lato client — i report vengono crittografati nel browser prima dell'archiviazione; nessun backend richiesto
• Modelli di segnalazione — crea e riutilizza modelli di vulnerabilità personalizzati; importa da CVE, CWE, MITRE ATT&CK e PCI DSS
• Importazione da scanner — importa i risultati direttamente da strumenti di sicurezza popolari (vedi Fonti di Importazione Supportate)
• Multipli formati di esportazione — TXT, HTML, DOCX; genera PDF tramite stampa del browser
• Esportazione HTML crittografato — condividi un report HTML autonomo crittografato con AES
• Allegati di file — allega screenshot, output di strumenti o qualsiasi file; il checksum SHA-256 viene calcolato automaticamente
• Changelog — tutte le modifiche significative al report vengono versionate e registrate automaticamente
• Esportazione segnalazioni — esporta le segnalazioni in Atlassian Jira o come file crittografato portatile
• Condivisione report — condividi un report completo crittografato con i collaboratori
• Profili del report — salva configurazioni di report riutilizzabili (logo, informazioni del ricercatore, tema, CSS)
• Personalizzazione template — modifica il modello HTML del report e il CSS direttamente nell'app
• Strumenti metodologici — checklist integrati per OWASP ASVS 4, PCI DSS 4 e The Bug Hunter's Methodology (TBHM)
• Ricerca CVE — interroga il database NIST NVD e ottieni i dettagli CVE nel tuo report
• Cronologia report — snapshot automatici con versioni ad ogni salvataggio
• Unione segnalazioni — unisci segnalazioni duplicate o correlate
• Filtro avanzato — filtra e cerca segnalazioni per gravità, stato, tag, CVE, CVSS e altro
• Elenco bug bounty — elenco di riferimento dei programmi bug bounty
• Integrazione AI / LLM — connetti un modello Ollama locale per la scrittura assistita di report tramite AI (vedi Integrazione AI / LLM)
• Backend opzionale — memorizza report crittografati sul tuo server tramite l'API REST (vedi Integrazione API)

Modello di Sicurezza

VULNRΞPO utilizza esclusivamente crittografia nativa del browser:

Durata della chiave e blocco automatico

Le password di decrittazione sono conservate in un vault in memoria a breve termine (KeyVaultService) che viene cancellato automaticamente quando si verifica una delle seguenti condizioni:

• Scheda nascosta — la scheda del browser perde il focus o viene commutata (evento visibilitychange)
• Scheda chiusa / ricaricamento pagina — eventi pagehide e beforeunload
• Inattività — 15 minuti senza input da tastiera, mouse o tocco

Dopo la cancellazione del vault, per riaprire un report viene richiesta nuovamente la password. Nessun materiale chiave viene mai scritto in sessionStorage, localStorage, cookie o qualsiasi altro archivio persistente del browser.

I report crittografati con versioni precedenti dell'app (formato legacy CryptoJS AES) vengono automaticamente rilevati e decrittografati per garantire la compatibilità all'indietro.

Importante: Non esiste un recupero della chiave lato server. Se perdi la tua chiave di sicurezza, i dati del report non possono essere recuperati.

Fonti di Importazione Supportate

Formati di Esportazione Report

Strumenti Metodologici

I seguenti checklist interattivi sono disponibili dalla barra laterale:

• OWASP ASVS 4 — Standard di Verifica della Sicurezza delle Applicazioni
• PCI DSS 4 — Standard di Sicurezza dei Dati per l'Industria delle Carte di Pagamento
• TBHM — La Metodologia del Bug Hunter

Usali durante una valutazione per assicurarti che non venga tralasciato nulla prima di finalizzare il report.

Integrazione AI / LLM

VULNRΞPO si integra con Ollama per fornire scrittura assistita di report tramite AI utilizzando un modello ospitato localmente. Nessun dato viene inviato a servizi cloud.

Configurazione:

1. Installa Ollama da ollama.com.
2. Scarica ed esegui un modello:
   root@kitploit:~

   ollama run llama3.2:latest
   

3. Consenti all'origine di VULNRΞPO di accedere a Ollama. Se utilizzi l'app ospitata, imposta la variabile d'ambiente prima di avviare Ollama:
   root@kitploit:~

   OLLAMA_ORIGINS=https://vulnrepo.com ollama serve
   

4. In VULNRΞPO, apri Impostazioni AI (icona del robot nella barra degli strumenti del report), inserisci il tuo URL Ollama (http://localhost:11434 di default), seleziona un modello e salva.

Per Iniziare

Prerequisiti

• Node.js 18 o successivo
• Angular CLI 22:
  root@kitploit:~

  npm install -g @angular/cli
  

Server di Sviluppo

# Installa le dipendenze
npm install

# Avvia il server di sviluppo
npm start
# oppure
ng serve

Naviga su http://localhost:4200/. L'applicazione si ricarica automaticamente quando i file sorgente vengono modificati.

Build di Produzione

ng build -c production

Gli artefatti della build vengono scritti in dist/vulnrepo-app/. Distribuisci il contenuto di quella directory su qualsiasi host web statico o CDN.

Docker

L'immagine Docker ufficiale è disponibile su Docker Hub:

docker pull kac89/vulnrepo
docker run -p 8080:80 kac89/vulnrepo

Vedi la pagina dell'immagine per la documentazione completa: https://hub.docker.com/r/kac89/vulnrepo

Struttura del Progetto

vulnrepo-master/
├── src/
│   ├── app/
│   │   ├── report/                   # Core report editor component
│   │   ├── myreports/                # Report list / dashboard
│   │   ├── newreport/                # Create report wizard
│   │   ├── import-report/            # Import encrypted report file
│   │   ├── templates-list/           # Issue template manager
│   │   ├── settings/                 # App settings (profiles, API vault)
│   │   ├── asvs/                     # OWASP ASVS 4 checklist
│   │   ├── pcidss4/                  # PCI DSS 4 checklist
│   │   ├── tbhm/                     # Bug Hunter's Methodology checklist
│   │   ├── cve-search/               # NVD CVE lookup
│   │   ├── bb-list/                  # Bug bounty program list
│   │   ├── faq/                      # In-app FAQ page
│   │   ├── crypto-utils.service.ts   # PBKDF2 + AES-GCM encryption service
│   │   ├── indexeddb.service.ts      # Local storage (IndexedDB) service
│   │   ├── api.service.ts            # Optional backend API service
│   │   ├── ollama-service.service.ts # Ollama LLM integration service
│   │   └── dialog-*/                 # Modal dialogs (add issue, import, export, …)
│   ├── assets/                       # Static assets, vendor logos
│   └── environments/                 # Environment configurations
├── dist/                             # Production build output
├── API-INTEGRATION.md                # Backend API reference
├── SECURITY.md                       # Vulnerability reporting policy
├── angular.json
└── package.json

Integrazione API

VULNRΞPO può opzionalmente memorizzare report crittografati sul tuo server backend. L'API è una semplice interfaccia HTTP con uno schema di autenticazione basato su header personalizzato.

Vedi API-INTEGRATION.md per il riferimento API completo.

Un'implementazione di esempio del server è disponibile su: https://github.com/kac89/vulnrepo-server

Supporto Browser

VULNRΞPO richiede un browser moderno con supporto per IndexedDB e Web Crypto API. Non funziona in modalità di navigazione privata/incognita (IndexedDB è bloccato dalla maggior parte dei browser in quella modalità).

Testato e supportato:

• Google Chrome (ultima versione)
• Mozilla Firefox (ultima versione)
• Microsoft Edge (Chromium, ultima versione)
• Safari su iOS (ultima versione)
• Chrome su Android (ultima versione)

Contribuire

1. Fai il fork del repository e crea un branch di funzionalità da dev.
2. Apporta le tue modifiche e assicurati che l'app venga compilata senza errori (ng build).
3. Invia una pull request verso il branch dev.

Per segnalare una vulnerabilità di sicurezza, vedi SECURITY.md.

Licenza

VULNRΞPO è rilasciato sotto la Licenza Apache 2.0.