RepoVerse is a free tool that turns any public GitHub repository into an explorable 3D city in the browser. Folders become districts, files become buildings sized by how much code they hold, and the dependencies between them become the roads running from one to another. It runs on Three.js and needs no install and no signup for public repositories.

How does RepoVerse build a city from a repository?

It clones the repository, parses every source file into an abstract syntax tree, and reads the import statements to find what depends on what. That graph is laid out as a city: a folder becomes a district, a file becomes a building whose height is its line count, and each resolved import becomes a road. Git history is read in parallel, so how often a file changes and how recently are visible in the skyline rather than buried in a log.

Yes. Scanning public repositories, exploring the 3D city, sharing a link to one and the written summary every city carries are all free and need no account. A paid plan adds private repositories and the security review, which checks every declared dependency against the OSV vulnerability database and reads the repository's own source for hard-coded credentials, injectable queries and disabled certificate checks.

Which languages does RepoVerse support?

Python, JavaScript, TypeScript and TSX are parsed for functions, classes and imports. Go, Rust, Java, Kotlin, C#, PHP, Ruby, C++ and Swift are mapped as files and districts. RepoVerse can also scan a public website instead of a repository, returning its pages, scripts, stylesheets and the technologies it detects.

Does RepoVerse need access to my private code?

Not for public repositories — those are read anonymously and nothing is stored beyond the generated city. Private repositories need you to sign in with GitHub and grant access, and that token is used only to fetch the repository you asked for. The repository itself is never sent to a third party.

What is the metropolis?

The metropolis is a single 3D world holding every repository anyone has scanned. Each one owns the land around it, projects that share dependencies meet at a border, and the dependencies between them are roads with traffic moving along them. You can fly over it and walk into any city you find.

SameSite=Lax CSRF'yi durdurmaya yeter mi?

Destekleyen tarayıcılarda siteler arası POST'ları engeller; bu da saldırıların çoğunu kapsar. Eski tarayıcılar ve durum değiştiren üst seviye GET'ler gibi SameSite'ın kapsamadığı akışlar için token'lar yine önerilir.

RepoVerse eksik CSRF korumasını nasıl tespit ediyor?

Durum değiştiren route'ları olan, CSRF middleware'i ve SameSite ayarı olmayan cookie tabanlı oturumları arar ve etkilenen route'ları bulguda listeler.

English

CSRF: kullanıcılarının hiç göndermek istemediği istekler

Siteler arası istek sahteciliği tarayıcıların cookie'leri otomatik eklemesini kötüye kullanır. Başka bir site, giriş yapmış bir ziyaretçinin tarayıcısına seninkine form gönderttirebilir ve oturum cookie'si de onunla gider.

Örnek

Zafiyetli

app.use(session({ secret: process.env.SESSION_SECRET }));

app.post("/transfer", isLoggedIn, (req, res) => {
  transfer(req.session.userId, req.body.to, req.body.amount);
  res.redirect("/account");
});

Güvenli

app.use(session({
  secret: process.env.SESSION_SECRET,
  cookie: { secure: true, httpOnly: true, sameSite: "lax" },
}));
app.use(doubleCsrfProtection); // csrf-csrf, or lusca.csrf()

app.post("/transfer", isLoggedIn, (req, res) => { /* … */ });

Nasıl oluşur

Saldırganın sitesindeki bir sayfa, https://senin-siten.com/transfer adresine gönderim yapan ve yüklenince kendini gönderen bir form içerir. Oturum cookie'n siteler arası isteklerde gönderiliyorsa ve uç nokta geçerli oturum taşıyan her isteği kabul ediyorsa transfer gerçekleşir. CSRF token'ı ve SameSite olmayan cookie oturumları klasik kurulumdur.

Nasıl düzeltilir

Siteler arası bir isteğin gerçek bir istek gibi görünmesini imkânsız kıl.

Oturum cookie'lerinde SameSite=Lax (veya Strict) ayarla
Durum değiştiren route'lara CSRF token'ı ekle (csrf-csrf, lusca, framework'ün yerleşikleri)
GET isteklerinde asla durum değiştirme
Header'da token ile kimlik doğrulayan API'lerde CSRF geçerli değildir — sorun cookie'lerdir

RepoVerse bunu nasıl bulur

OrtaCSRF koruması olmayan cookie oturumları
Başka bir site, giriş yapmış kullanıcı adına durum değiştiren route'lara form gönderebilir — tarayıcı oturum cookie'sini kendiliğinden ekler.
veri akışı · CWE-352
DüşükOturum cookie'sinde SameSite yok
Varsayılanı `Lax` olmayan tarayıcılar cookie'yi siteler arası form gönderimlerine ekler; CSRF saldırısı buna dayanır.
web sitesi · CWE-1275

Sorular

SameSite=Lax CSRF'yi durdurmaya yeter mi?: Destekleyen tarayıcılarda siteler arası POST'ları engeller; bu da saldırıların çoğunu kapsar. Eski tarayıcılar ve durum değiştiren üst seviye GET'ler gibi SameSite'ın kapsamadığı akışlar için token'lar yine önerilir.
RepoVerse eksik CSRF korumasını nasıl tespit ediyor?: Durum değiştiren route'ları olan, CSRF middleware'i ve SameSite ayarı olmayan cookie tabanlı oturumları arar ve etkilenen route'ları bulguda listeler.

İlgili

Güncellendi 2026-10-11