VULNRΞPO - 脆弱性レポート生成ツール兼リポジトリ

クライアントサイドで動作し、プライバシーを最優先するセキュリティ専門家向け脆弱性レポートマネージャーです。全てのデータはブラウザ内で暗号化・保存され、デフォルトではサーバーに送信されることはありません。

ライブアプリ: https://vulnrepo.com/ | 開発ブランチ: https://dev.vulnrepo.com/

ビデオウォークスルー / チュートリアル:

目次

• 特徴
• セキュリティモデル
• 対応インポートソース
• レポートエクスポート形式
• 方法論ツール
• AI / LLM 統合
• はじめに
  • 前提条件
  • 開発サーバー
  • 本番ビルド
  • Docker
• プロジェクト構造
• API 統合
• ブラウザサポート
• 貢献
• ライセンス

特徴

• クライアントサイド暗号化 — レポートは保存前にブラウザ内で暗号化されます。バックエンドは不要です。
• 問題テンプレート — カスタム脆弱性テンプレートを作成・再利用可能。CVE、CWE、MITRE ATT&CK、PCI DSSからインポート可能。
• スキャナーインポート — 人気のセキュリティツールから直接検出結果をインポート（対応インポートソース参照）
• 複数のエクスポート形式 — TXT、HTML、DOCX。ブラウザの印刷機能でPDF生成可能。
• 暗号化HTMLエクスポート — AES暗号化された自己完結型HTMLレポートを共有。
• ファイル添付 — スクリーンショット、ツール出力、あらゆるファイルを添付。SHA-256チェックサムが自動計算されます。
• 変更履歴 — レポートの重要な変更はすべて自動的にバージョン管理されログに記録されます。
• 問題エクスポート — 問題をAtlassian Jiraにエクスポート、またはポータブルな暗号化ファイルとしてエクスポート。
• レポート共有 — 暗号化された完全なレポートを共同作業者と共有。
• レポートプロファイル — 再利用可能なレポート設定（ロゴ、研究者情報、テーマ、CSS）を保存。
• テンプレートカスタマイズ — アプリ内でHTMLレポートテンプレートとCSSを直接編集。
• 方法論ツール — OWASP ASVS 4、PCI DSS 4、The Bug Hunter's Methodology (TBHM) の組み込みチェックリスト。
• CVE検索 — NIST NVDデータベースを照会し、CVEの詳細をレポートに取り込み。
• レポート履歴 — 保存ごとに自動的にバージョン管理されたスナップショット。
• 問題マージ — 重複または関連する問題を統合。
• 高度なフィルター — 深刻度、ステータス、タグ、CVE、CVSSなどで問題を絞り込み・検索。
• バグバウンティリスト — バグバウンティプログラムのリファレンスリスト。
• AI / LLM 統合 — ローカルのOllamaモデルに接続してAI支援によるレポート執筆（AI / LLM 統合参照）
• オプションのバックエンド — REST APIを介して暗号化されたレポートを自身のサーバーに保存（API 統合参照）

セキュリティモデル

VULNRΞPOはブラウザネイティブの暗号化のみを使用します。

鍵の有効期間と自動ロック

復号パスワードは短期間のメモリ内ボールト（KeyVaultService）に保持され、以下のいずれかが発生すると自動的に消去されます：

• タブが非表示 — ブラウザのタブがフォーカスを失うか、切り替えられた場合（visibilitychange イベント）
• タブを閉じる / ページリロード — pagehide および beforeunload イベント
• 非アクティブ — キーボード、マウス、タッチ入力が15分間ない場合

ボールトが消去された後、レポートを再度開く際にはパスワードの入力を求められます。鍵素材が sessionStorage、localStorage、Cookie、その他の永続的なブラウザストレージに書き込まれることは決してありません。

古いバージョンのアプリ（レガシーCryptoJS AES形式）で暗号化されたレポートは、後方互換性のために自動的に検出され復号されます。

重要: サーバー側での鍵の復旧はできません。セキュリティキーを紛失した場合、レポートデータを復元することはできません。

対応インポートソース

レポートエクスポート形式

方法論ツール

以下のインタラクティブなチェックリストがサイドバーから利用可能です：

• OWASP ASVS 4 — アプリケーションセキュリティ検証標準
• PCI DSS 4 — ペイメントカード業界データセキュリティ基準
• TBHM — バグハンターズメソッド

評価中にこれらを使用して、レポートを確定する前に見落としがないことを確認してください。

AI / LLM 統合

VULNRΞPOはOllamaと統合し、ローカルでホストされたモデルを使用してAI支援によるレポート作成を提供します。データがクラウドサービスに送信されることはありません。

セットアップ:

1. ollama.comからOllamaをインストールします。
2. モデルをプルして実行：
   root@kitploit:~

   ollama run llama3.2:latest
   

3. VULNRΞPOオリジンがOllamaにアクセスできるようにします。ホスト型アプリを使用する場合、Ollamaを起動する前に環境変数を設定してください：
   root@kitploit:~

   OLLAMA_ORIGINS=https://vulnrepo.com ollama serve
   

4. VULNRΞPOでAI設定（レポートツールバーのロボットアイコン）を開き、Ollama URL（デフォルトではhttp://localhost:11434）を入力し、モデルを選択して保存します。

はじめに

前提条件

• Node.js 18 以降
• Angular CLI 22:
  root@kitploit:~

  npm install -g @angular/cli
  

開発サーバー

# 依存関係をインストール
npm install

# 開発サーバーを起動
npm start
# または
ng serve

http://localhost:4200/ にアクセスしてください。ソースファイルが変更されるとアプリケーションは自動的にリロードされます。

本番ビルド

ng build -c production

ビルド成果物は dist/vulnrepo-app/ に出力されます。そのディレクトリの内容を任意の静的ウェブホストまたはCDNにデプロイしてください。

Docker

公式DockerイメージはDocker Hubで入手可能です：

docker pull kac89/vulnrepo
docker run -p 8080:80 kac89/vulnrepo

詳細なドキュメントはイメージページを参照してください： https://hub.docker.com/r/kac89/vulnrepo

プロジェクト構造

vulnrepo-master/
├── src/
│   ├── app/
│   │   ├── report/                   # Core report editor component
│   │   ├── myreports/                # Report list / dashboard
│   │   ├── newreport/                # Create report wizard
│   │   ├── import-report/            # Import encrypted report file
│   │   ├── templates-list/           # Issue template manager
│   │   ├── settings/                 # App settings (profiles, API vault)
│   │   ├── asvs/                     # OWASP ASVS 4 checklist
│   │   ├── pcidss4/                  # PCI DSS 4 checklist
│   │   ├── tbhm/                     # Bug Hunter's Methodology checklist
│   │   ├── cve-search/               # NVD CVE lookup
│   │   ├── bb-list/                  # Bug bounty program list
│   │   ├── faq/                      # In-app FAQ page
│   │   ├── crypto-utils.service.ts   # PBKDF2 + AES-GCM encryption service
│   │   ├── indexeddb.service.ts      # Local storage (IndexedDB) service
│   │   ├── api.service.ts            # Optional backend API service
│   │   ├── ollama-service.service.ts # Ollama LLM integration service
│   │   └── dialog-*/                 # Modal dialogs (add issue, import, export, …)
│   ├── assets/                       # Static assets, vendor logos
│   └── environments/                 # Environment configurations
├── dist/                             # Production build output
├── API-INTEGRATION.md                # Backend API reference
├── SECURITY.md                       # Vulnerability reporting policy
├── angular.json
└── package.json

API 統合

VULNRΞPOはオプションで暗号化されたレポートを自身のバックエンドサーバーに保存できます。APIはカスタムヘッダーベースの認証スキームを備えたシンプルなHTTPインターフェースです。

完全なAPIリファレンスについては API-INTEGRATION.md を参照してください。

サーバー実装の例は次のURLで入手可能です：https://github.com/kac89/vulnrepo-server

ブラウザサポート

VULNRΞPOはIndexedDBとWeb Crypto APIをサポートするモダンブラウザが必要です。プライベート/シークレットブラウジングモードでは動作しません（そのモードではほとんどのブラウザがIndexedDBをブロックします）。

テスト済みでサポートされているブラウザ：

• Google Chrome (最新版)
• Mozilla Firefox (最新版)
• Microsoft Edge (Chromium, 最新版)
• Safari on iOS (最新版)
• Chrome on Android (最新版)

貢献

1. リポジトリをフォークし、dev ブランチからフィーチャーブランチを作成してください。
2. 変更を加え、アプリがエラーなくビルドされることを確認してください（ng build）。
3. dev ブランチに対してプルリクエストを送信してください。

セキュリティ脆弱性を報告する場合は、SECURITY.md を参照してください。

ライセンス

VULNRΞPOは Apache 2.0 ライセンス の下で公開されています。