RepoVerse is a free tool that turns any public GitHub repository into an explorable 3D city in the browser. Folders become districts, files become buildings sized by how much code they hold, and the dependencies between them become the roads running from one to another. It runs on Three.js and needs no install and no signup for public repositories.

How does RepoVerse build a city from a repository?

It clones the repository, parses every source file into an abstract syntax tree, and reads the import statements to find what depends on what. That graph is laid out as a city: a folder becomes a district, a file becomes a building whose height is its line count, and each resolved import becomes a road. Git history is read in parallel, so how often a file changes and how recently are visible in the skyline rather than buried in a log.

Yes. Scanning public repositories, exploring the 3D city, sharing a link to one and the written summary every city carries are all free and need no account. A paid plan adds private repositories and the security review, which checks every declared dependency against the OSV vulnerability database and reads the repository's own source for hard-coded credentials, injectable queries and disabled certificate checks.

Which languages does RepoVerse support?

Python, JavaScript, TypeScript and TSX are parsed for functions, classes and imports. Go, Rust, Java, Kotlin, C#, PHP, Ruby, C++ and Swift are mapped as files and districts. RepoVerse can also scan a public website instead of a repository, returning its pages, scripts, stylesheets and the technologies it detects.

Does RepoVerse need access to my private code?

Not for public repositories — those are read anonymously and nothing is stored beyond the generated city. Private repositories need you to sign in with GitHub and grant access, and that token is used only to fetch the repository you asked for. The repository itself is never sent to a third party.

What is the metropolis?

The metropolis is a single 3D world holding every repository anyone has scanned. Each one owns the land around it, projects that share dependencies meet at a border, and the dependencies between them are roads with traffic moving along them. You can fly over it and walk into any city you find.

JSON.parse güvenli mi?

JSON.parse yalnızca düz veri oluşturur, kod çalıştıramaz. Sonuç yine doğrulanmalıdır; dikkatsizce nesnelere birleştirmek prototype pollution'a yol açabilir.

Serileştirilmiş veriyi imzalamak yeterli mi?

Sunucu tarafı bir anahtarla imzalamak, anahtar gizli kaldığı sürece kurcalamayı önler. Yalnızca veri taşıyan formatlar yine daha güvenli varsayılandır.

English

Güvensiz deserialization: kod olarak çalışan veri

Bazı serileştirme formatları davranışı olan nesneleri tarif edebilir. Bunlardan birini güvenilmeyen bir kaynaktan yüklemek, onu yazan kişinin yükleme sırasında neyin çalışacağına karar vermesini sağlar.

Örnek

Zafiyetli

import pickle

@app.post("/import")
def import_settings():
    settings = pickle.loads(request.data)
    return apply(settings)

Güvenli

import json

@app.post("/import")
def import_settings():
    settings = json.loads(request.data)
    validate(settings)  # check the shape and the types
    return apply(settings)

Nasıl oluşur

Python'un pickle'ı, güvenli yükleyici olmadan yaml.load, Java'nın ObjectInputStream'i, PHP'nin unserialize'ı ve node-serialize, kurulum kodu çözme sırasında çalışan nesneler oluşturabilir. Oturum verileri, önbellek kayıtları, içe aktarma özellikleri ve mesaj kuyrukları bu tür verinin dışarıdan geldiği tipik yerlerdir.

Nasıl düzeltilir

Yalnızca veri taşıyan bir format kullan.

JSON kullan ve şeklini ve türlerini doğrula
yaml.load yerine yaml.safe_load kullan
Kullanıcının etkileyebileceği veriyi asla unpickle etme; gidip gelmesi gereken veriyi imzala
node-serialize ve benzeri kütüphaneleri kaldır

RepoVerse bunu nasıl bulur

Yüksekİstek girdisi canlı nesnelere deserialize ediliyor
Fonksiyonları yeniden kuran serileştiriciler, çözme sırasında saldırganın seçtiği kodu çalıştırır.
veri akışı · CWE-502
YüksekGüvenilmeyen veri nesneye çevriliyor
`pickle`, `marshal` ve çıplak `yaml.load`, verilen baytlardan keyfi Python nesnesi — yani keyfi kod — üretir.
örüntü
YüksekGüvenilmeyen veri nesneye çevriliyor
`node-serialize`, `serialize-javascript` unserialise ve `vm.runInNewContext` yalnızca veriyi değil davranışı da geri kurar.
örüntü

Sorular

JSON.parse güvenli mi?: JSON.parse yalnızca düz veri oluşturur, kod çalıştıramaz. Sonuç yine doğrulanmalıdır; dikkatsizce nesnelere birleştirmek prototype pollution'a yol açabilir.
Serileştirilmiş veriyi imzalamak yeterli mi?: Sunucu tarafı bir anahtarla imzalamak, anahtar gizli kaldığı sürece kurcalamayı önler. Yalnızca veri taşıyan formatlar yine daha güvenli varsayılandır.

İlgili

Güncellendi 2026-10-11