VULNRΞPO - Gerador de Relatórios de Vulnerabilidades & Repositório

Um gerenciador de relatórios de vulnerabilidades do lado do cliente, priorizando a privacidade, para profissionais de segurança. Todos os dados são criptografados e armazenados localmente no seu navegador — nada é enviado a nenhum servidor por padrão.

App ao vivo: https://vulnrepo.com/ | Branch dev: https://dev.vulnrepo.com/

Vídeo de demonstração / Tutorial:

Índice

• Funcionalidades
• Modelo de Segurança
• Origens de Importação Suportadas
• Formatos de Exportação de Relatórios
• Ferramentas de Metodologia
• Integração com IA / LLM
• Primeiros Passos
  • Pré-requisitos
  • Servidor de Desenvolvimento
  • Build de Produção
  • Docker
• Estrutura do Projeto
• Integração com API
• Suporte a Navegadores
• Contribuindo
• Licença

Funcionalidades

• Criptografia do lado do cliente — os relatórios são criptografados no navegador antes do armazenamento; nenhum backend necessário
• Modelos de issues — crie e reutilize modelos personalizados de vulnerabilidades; importe de CVE, CWE, MITRE ATT&CK e PCI DSS
• Importação de scanners — importe descobertas diretamente de ferramentas de segurança populares (veja Origens de Importação Suportadas)
• Múltiplos formatos de exportação — TXT, HTML, DOCX; gere PDF via impressão do navegador
• Exportação HTML criptografada — compartilhe um relatório HTML autocontido e criptografado com AES
• Anexos de arquivos — anexe capturas de tela, saída de ferramentas ou qualquer arquivo; o checksum SHA-256 é calculado automaticamente
• Changelog — todas as alterações significativas no relatório são versionadas e registradas automaticamente
• Exportação de issues — exporte issues para Atlassian Jira ou como um arquivo criptografado portátil
• Compartilhamento de relatórios — compartilhe um relatório criptografado completo com colaboradores
• Perfis de relatórios — salve configurações reutilizáveis de relatórios (logotipo, informações do pesquisador, tema, CSS)
• Personalização de modelos — edite o modelo HTML do relatório e o CSS diretamente no app
• Ferramentas de metodologia — checklists integradas para OWASP ASVS 4, PCI DSS 4 e The Bug Hunter's Methodology (TBHM)
• Pesquisa CVE — consulte o banco de dados NIST NVD e importe detalhes de CVE para o seu relatório
• Histórico de relatórios — snapshots versionados automáticos de cada salvamento
• Mesclagem de issues — mescle issues duplicadas ou relacionadas
• Filtro avançado — filtre e pesquise issues por gravidade, status, tags, CVE, CVSS e mais
• Lista de bug bounty — lista de referência de programas de bug bounty
• Integração com IA / LLM — conecte um modelo local Ollama para escrita assistida por IA de relatórios (veja Integração com IA / LLM)
• Backend opcional — armazene relatórios criptografados no seu próprio servidor via API REST (veja Integração com API)

Modelo de Segurança

O VULNRΞPO utiliza criptografia nativa do navegador exclusivamente:

Tempo de vida da chave e bloqueio automático

As senhas de descriptografia são mantidas em um cofre de memória de curta duração (KeyVaultService) que é limpo automaticamente quando ocorre qualquer um dos seguintes eventos:

• Aba oculta — a aba do navegador perde o foco ou é alternada (evento visibilitychange)
• Aba fechada / recarregamento de página — eventos pagehide e beforeunload
• Inatividade — 15 minutos sem entrada de teclado, mouse ou toque

Após a limpeza do cofre, reabrir um relatório solicita novamente a senha. Nenhum material de chave é gravado em sessionStorage, localStorage, cookies ou qualquer outro armazenamento persistente do navegador.

Relatórios criptografados com versões mais antigas do app (formato legado CryptoJS AES) são detectados automaticamente e descriptografados para compatibilidade reversa.

Importante: Não há recuperação de chave no servidor. Se você perder sua chave de segurança, os dados do relatório não poderão ser recuperados.

Origens de Importação Suportadas

Formatos de Exportação de Relatórios

Ferramentas de Metodologia

As seguintes checklists interativas estão disponíveis na barra lateral:

• OWASP ASVS 4 — Padrão de Verificação de Segurança de Aplicações
• PCI DSS 4 — Padrão de Segurança de Dados da Indústria de Cartões de Pagamento
• TBHM — Metodologia do Caçador de Bugs (The Bug Hunter's Methodology)

Use-as durante uma avaliação para garantir que nada seja esquecido antes de finalizar o relatório.

Integração com IA / LLM

O VULNRΞPO integra-se ao Ollama para fornecer escrita assistida por IA de relatórios usando um modelo hospedado localmente. Nenhum dado é enviado para nenhum serviço em nuvem.

Configuração:

1. Instale o Ollama em ollama.com.
2. Baixe e execute um modelo:
   root@kitploit:~

   ollama run llama3.2:latest
   

3. Permita que a origem do VULNRΞPO acesse o Ollama. Se estiver usando o app hospedado, defina a variável de ambiente antes de iniciar o Ollama:
   root@kitploit:~

   OLLAMA_ORIGINS=https://vulnrepo.com ollama serve
   

4. No VULNRΞPO, abra Configurações de IA (ícone de robô na barra de ferramentas do relatório), digite sua URL do Ollama (http://localhost:11434 por padrão), selecione um modelo e salve.

Primeiros Passos

Pré-requisitos

• Node.js 18 ou superior
• Angular CLI 22:
  root@kitploit:~

  npm install -g @angular/cli
  

Servidor de Desenvolvimento

# Instalar dependências
npm install

# Iniciar o servidor de desenvolvimento
npm start
# ou
ng serve

Navegue para http://localhost:4200/. A aplicação recarrega automaticamente quando os arquivos de origem mudam.

Build de Produção

ng build -c production

Os artefatos de build são gravados em dist/vulnrepo-app/. Implante o conteúdo desse diretório em qualquer host web estático ou CDN.

Docker

A imagem Docker oficial está disponível no Docker Hub:

docker pull kac89/vulnrepo
docker run -p 8080:80 kac89/vulnrepo

Veja a página da imagem para documentação completa: https://hub.docker.com/r/kac89/vulnrepo

Estrutura do Projeto

vulnrepo-master/
├── src/
│   ├── app/
│   │   ├── report/                   # Componente principal do editor de relatórios
│   │   ├── myreports/                # Lista/dashboard de relatórios
│   │   ├── newreport/                # Assistente de criação de relatório
│   │   ├── import-report/            # Importar arquivo de relatório criptografado
│   │   ├── templates-list/           # Gerenciador de modelos de issues
│   │   ├── settings/                 # Configurações do app (perfis, cofre de API)
│   │   ├── asvs/                     # Checklist OWASP ASVS 4
│   │   ├── pcidss4/                  # Checklist PCI DSS 4
│   │   ├── tbhm/                     # Checklist Metodologia do Caçador de Bugs
│   │   ├── cve-search/               # Consulta CVE do NVD
│   │   ├── bb-list/                  # Lista de programas de bug bounty
│   │   ├── faq/                      # Página de FAQ no app
│   │   ├── crypto-utils.service.ts   # Serviço de criptografia PBKDF2 + AES-GCM
│   │   ├── indexeddb.service.ts      # Serviço de armazenamento local (IndexedDB)
│   │   ├── api.service.ts            # Serviço de backend de API opcional
│   │   ├── ollama-service.service.ts # Serviço de integração com LLM Ollama
│   │   └── dialog-*/                 # Diálogos modais (adicionar issue, importar, exportar, …)
│   ├── assets/                       # Recursos estáticos, logotipos de fornecedores
│   └── environments/                 # Configurações de ambiente
├── dist/                             # Saída do build de produção
├── API-INTEGRATION.md                # Referência da API do backend
├── SECURITY.md                       # Política de relato de vulnerabilidades
├── angular.json
└── package.json

Integração com API

O VULNRΞPO pode opcionalmente armazenar relatórios criptografados no seu próprio servidor backend. A API é uma interface HTTP simples com um esquema de autenticação baseado em cabeçalho personalizado.

Veja API-INTEGRATION.md para a referência completa da API.

Uma implementação de servidor de exemplo está disponível em: https://github.com/kac89/vulnrepo-server

Suporte a Navegadores

O VULNRΞPO requer um navegador moderno com suporte a IndexedDB e Web Crypto API. Ele não funciona no modo de navegação privada/incógnito (o IndexedDB é bloqueado pela maioria dos navegadores nesse modo).

Testado e suportado:

• Google Chrome (última versão)
• Mozilla Firefox (última versão)
• Microsoft Edge (Chromium, última versão)
• Safari no iOS (última versão)
• Chrome no Android (última versão)

Contribuindo

1. Faça um fork do repositório e crie uma branch de feature a partir de dev.
2. Faça suas alterações e garanta que o app compile sem erros (ng build).
3. Envie um pull request contra a branch dev.

Para relatar uma vulnerabilidade de segurança, veja SECURITY.md.

Licença

O VULNRΞPO é distribuído sob a Licença Apache 2.0.