VULNRΞPO — Генератор отчетов об уязвимостях и репозиторий

Менеджер отчетов об уязвимостях для специалистов по безопасности, работающий на стороне клиента с приоритетом конфиденциальности. Все данные шифруются и хранятся локально в вашем браузере — по умолчанию ничего не отправляется на сервер.

Рабочее приложение: https://vulnrepo.com/ | Ветка dev: https://dev.vulnrepo.com/

Видеообзор / Учебник:

Содержание

• Возможности
• Модель безопасности
• Поддерживаемые источники импорта
• Форматы экспорта отчетов
• Инструменты методологии
• Интеграция с ИИ / LLM
• Начало работы
  • Предварительные требования
  • Сервер разработки
  • Сборка для продакшена
  • Docker
• Структура проекта
• Интеграция с API
• Поддержка браузеров
• Участие в разработке
• Лицензия

Возможности

• Шифрование на стороне клиента — отчеты шифруются в браузере перед сохранением; сервер не требуется
• Шаблоны уязвимостей — создавайте и повторно используйте настраиваемые шаблоны уязвимостей; импорт из CVE, CWE, MITRE ATT&CK и PCI DSS
• Импорт из сканеров — импорт результатов прямо из популярных инструментов безопасности (см. Поддерживаемые источники импорта)
• Несколько форматов экспорта — TXT, HTML, DOCX; генерация PDF через печать браузера
• Зашифрованный HTML-экспорт — поделитесь AES-зашифрованным самодостаточным HTML-отчетом
• Вложения файлов — прикрепляйте скриншоты, результаты инструментов или любые файлы; автоматически вычисляется контрольная сумма SHA-256
• Журнал изменений — все значимые изменения в отчете версионируются и автоматически записываются
• Экспорт уязвимостей — экспорт уязвимостей в Atlassian Jira или в виде портативного зашифрованного файла
• Общий доступ к отчету — поделитесь полным зашифрованным отчетом с коллегами
• Профили отчетов — сохраняйте переиспользуемые конфигурации отчета (логотип, информация об исследователе, тема, CSS)
• Настройка шаблона — редактируйте шаблон HTML-отчета и CSS прямо в приложении
• Инструменты методологии — встроенные чек-листы: OWASP ASVS 4, PCI DSS 4 и Методология охотника за багами (TBHM)
• Поиск CVE — запрос к базе NIST NVD и включение деталей CVE в отчет
• История отчета — автоматические версионированные снимки каждого сохранения
• Объединение уязвимостей — объединение дублирующихся или связанных уязвимостей
• Расширенный фильтр — фильтрация и поиск уязвимостей по критичности, статусу, тегам, CVE, CVSS и др.
• Список программ bug bounty — справочный список программ bug bounty
• Интеграция с ИИ / LLM — подключение локальной модели Ollama для помощи в написании отчета (см. Интеграция с ИИ / LLM)
• Опциональный сервер — хранение зашифрованных отчетов на вашем собственном сервере через REST API (см. Интеграция с API)

Модель безопасности

VULNRΞPO использует исключительно браузерную криптографию:

Время жизни ключа и автоблокировка

Пароли расшифровки хранятся в недолговечном хранилище в памяти (KeyVaultService), которое автоматически очищается при любом из следующих событий:

• Вкладка скрыта — вкладка браузера теряет фокус или переключается (событие visibilitychange)
• Вкладка закрыта / перезагрузка страницы — события pagehide и beforeunload
• Неактивность — 15 минут без ввода с клавиатуры, мыши или касания

После очистки хранилища повторное открытие отчета запрашивает пароль снова. Никакие ключевые материалы никогда не записываются в sessionStorage, localStorage, куки или любое другое постоянное хранилище браузера.

Отчеты, зашифрованные в старых версиях приложения (устаревший формат CryptoJS AES), автоматически обнаруживаются и расшифровываются для обратной совместимости.

Важно: Серверное восстановление ключей отсутствует. Если вы потеряете свой ключ безопасности, данные отчета восстановить невозможно.

Поддерживаемые источники импорта

Форматы экспорта отчетов

Инструменты методологии

Следующие интерактивные чек-листы доступны на боковой панели:

• OWASP ASVS 4 — Стандарт проверки безопасности приложений
• PCI DSS 4 — Стандарт безопасности данных индустрии платежных карт
• TBHM — Методология охотника за багами

Используйте их во время оценки, чтобы убедиться, что ничего не упущено перед финализацией отчета.

Интеграция с ИИ / LLM

VULNRΞPO интегрируется с Ollama для предоставления помощи в написании отчета с помощью локальной модели. Никакие данные не отправляются в облачные сервисы.

Настройка:

1. Установите Ollama с ollama.com.
2. Загрузите и запустите модель:
   root@kitploit:~

   ollama run llama3.2:latest
   

3. Разрешите источнику VULNRΞPO доступ к Ollama. Если вы используете хостинговое приложение, установите переменную окружения перед запуском Ollama:
   root@kitploit:~

   OLLAMA_ORIGINS=https://vulnrepo.com ollama serve
   

4. В VULNRΞPO откройте Настройки AI (иконка робота на панели инструментов отчета), введите URL Ollama (http://localhost:11434 по умолчанию), выберите модель и сохраните.

Начало работы

Предварительные требования

• Node.js версии 18 или выше
• Angular CLI версии 22:
  root@kitploit:~

  npm install -g @angular/cli
  

Сервер разработки

# Установка зависимостей
npm install

# Запуск сервера разработки
npm start
# или
ng serve

Перейдите по адресу http://localhost:4200/. Приложение автоматически перезагружается при изменении исходных файлов.

Сборка для продакшена

ng build -c production

Артефакты сборки записываются в dist/vulnrepo-app/. Разверните содержимое этой папки на любом статическом хостинге или CDN.

Docker

Официальный Docker-образ доступен на Docker Hub:

docker pull kac89/vulnrepo
docker run -p 8080:80 kac89/vulnrepo

См. страницу образа для полной документации: https://hub.docker.com/r/kac89/vulnrepo

Структура проекта

vulnrepo-master/
├── src/
│   ├── app/
│   │   ├── report/                   # Основной компонент редактора отчетов
│   │   ├── myreports/                # Список отчетов / панель управления
│   │   ├── newreport/                # Мастер создания отчета
│   │   ├── import-report/            # Импорт зашифрованного файла отчета
│   │   ├── templates-list/           # Менеджер шаблонов уязвимостей
│   │   ├── settings/                 # Настройки приложения (профили, хранилище API)
│   │   ├── asvs/                     # Чек-лист OWASP ASVS 4
│   │   ├── pcidss4/                  # Чек-лист PCI DSS 4
│   │   ├── tbhm/                     # Чек-лист методологии охотника за багами
│   │   ├── cve-search/               # Поиск CVE в NVD
│   │   ├── bb-list/                  # Список программ bug bounty
│   │   ├── faq/                      # Встроенная страница FAQ
│   │   ├── crypto-utils.service.ts   # Сервис шифрования PBKDF2 + AES-GCM
│   │   ├── indexeddb.service.ts      # Сервис локального хранилища (IndexedDB)
│   │   ├── api.service.ts            # Опциональный сервис API-сервера
│   │   ├── ollama-service.service.ts # Сервис интеграции с Ollama LLM
│   │   └── dialog-*/                 # Модальные диалоги (добавление уязвимости, импорт, экспорт, …)
│   ├── assets/                       # Статические ресурсы, логотипы вендоров
│   └── environments/                 # Конфигурации окружения
├── dist/                             # Результат сборки для продакшена
├── API-INTEGRATION.md                # Справочник API-сервера
├── SECURITY.md                       # Политика уведомления об уязвимостях
├── angular.json
└── package.json

Интеграция с API

VULNRΞPO может опционально сохранять зашифрованные отчеты на вашем собственном сервере. API представляет собой простой HTTP-интерфейс с пользовательской схемой аутентификации на основе заголовков.

Полный справочник API см. в API-INTEGRATION.md.

Пример реализации сервера доступен по адресу: https://github.com/kac89/vulnrepo-server

Поддержка браузеров

VULNRΞPO требует современный браузер с поддержкой IndexedDB и Web Crypto API. Он не работает в режиме приватного/инкогнито (IndexedDB блокируется большинством браузеров в этом режиме).

Протестированы и поддерживаются:

• Google Chrome (последняя версия)
• Mozilla Firefox (последняя версия)
• Microsoft Edge (Chromium, последняя версия)
• Safari на iOS (последняя версия)
• Chrome на Android (последняя версия)

Участие в разработке

1. Сделайте форк репозитория и создайте ветку для новой функции от dev.
2. Внесите изменения и убедитесь, что приложение собирается без ошибок (ng build).
3. Отправьте pull request в ветку dev.

Чтобы сообщить об уязвимости безопасности, см. SECURITY.md.

Лицензия

VULNRΞPO выпущен под лицензией Apache 2.0.