RepoVerse is a free tool that turns any public GitHub repository into an explorable 3D city in the browser. Folders become districts, files become buildings sized by how much code they hold, and the dependencies between them become the roads running from one to another. It runs on Three.js and needs no install and no signup for public repositories.

How does RepoVerse build a city from a repository?

It clones the repository, parses every source file into an abstract syntax tree, and reads the import statements to find what depends on what. That graph is laid out as a city: a folder becomes a district, a file becomes a building whose height is its line count, and each resolved import becomes a road. Git history is read in parallel, so how often a file changes and how recently are visible in the skyline rather than buried in a log.

Yes. Scanning public repositories, exploring the 3D city, sharing a link to one and the written summary every city carries are all free and need no account. A paid plan adds private repositories and the security review, which checks every declared dependency against the OSV vulnerability database and reads the repository's own source for hard-coded credentials, injectable queries and disabled certificate checks.

Which languages does RepoVerse support?

Python, JavaScript, TypeScript and TSX are parsed for functions, classes and imports. Go, Rust, Java, Kotlin, C#, PHP, Ruby, C++ and Swift are mapped as files and districts. RepoVerse can also scan a public website instead of a repository, returning its pages, scripts, stylesheets and the technologies it detects.

Does RepoVerse need access to my private code?

Not for public repositories — those are read anonymously and nothing is stored beyond the generated city. Private repositories need you to sign in with GitHub and grant access, and that token is used only to fetch the repository you asked for. The repository itself is never sent to a third party.

What is the metropolis?

The metropolis is a single 3D world holding every repository anyone has scanned. Each one owns the land around it, projects that share dependencies meet at a border, and the dependencies between them are roads with traffic moving along them. You can fly over it and walk into any city you find.

IDOR ile BOLA arasındaki fark nedir?

Aynı açıktır. OWASP API Security Top 10 buna Broken Object Level Authorization (BOLA) der; eski web Top 10 Insecure Direct Object Reference derdi.

Statik analiz IDOR'u bulabilir mi?

Kısmen. RepoVerse, oturumu veya doğrulanmış kullanıcıyı hiç okumayan handler'larda istekten gelen kullanıcı, hesap veya sipariş tarzı bir ID ile yapılan aramaları işaretler. Hangi kayıtların herkese açık olması gerektiğini yalnızca sen bildiğin için bunları muhtemel olarak işaretler.

English

IDOR: başkasının verisini görmek için tek bir sayıyı değiştirmek

Güvensiz doğrudan nesne referansları API'lerdeki en yaygın erişim kontrolü hatasıdır: uç nokta giriş yapıp yapmadığını kontrol eder, sonra istekte adı geçen kayıt ID'si neyse onu getirir.

Örnek

Zafiyetli

app.get("/allocations/:userId", isLoggedIn, async (req, res) => {
  const docs = await allocations.find({ userId: req.params.userId });
  res.json(docs);
});

Güvenli

app.get("/allocations", isLoggedIn, async (req, res) => {
  // the user comes from the session, never from the URL
  const docs = await allocations.find({ userId: req.session.userId });
  res.json(docs);
});

Nasıl oluşur

/invoices/:id veya /users/:userId/profile gibi route'lar URL'deki ID'yi doğrudan bir veritabanı aramasına verir. 7 numaralı kullanıcı olarak giriş yapıp /invoices/8 istemek 8 numaralı kullanıcının faturasını döndürür. İlgili hatalar: tanımlı ama hiçbir route'a eklenmemiş yalnızca-admin middleware'i ve isteğin tüm gövdesini bir kayda yazmak; bu da çağıranın role veya isAdmin gibi alanları ayarlamasına izin verir.

Nasıl düzeltilir

Yetkilendirme route başına değil, kayıt başınadır.

Geçerli kullanıcının ID'sini istekten değil, oturumdan veya token'dan al
ID istekten gelmek zorundaysa, döndürmeden önce kaydın kullanıcıya ait olduğunu kontrol et
Rol kontrollerini her yetkili route'a uygula ve test et
Tüm gövdeyi kaydetmek yerine kabul edilen alanları açıkça seç

RepoVerse bunu nasıl bulur

YüksekKayıt istekten gelen ID ile aranıyor, sahiplik kontrolü yok
URL'deki ID'yi değiştirmek başka bir kullanıcının verisini gösterir veya değiştirir (IDOR / BOLA).
veri akışı · CWE-639
YüksekYalnızca admin'e özel middleware tanımlı ama hiçbir route'a uygulanmamış
Admin'e özel olması gereken route'lara giriş yapmış herhangi bir kullanıcı ulaşabilir; veri değiştiriyorlarsa bu yetki yükseltmedir.
veri akışı · CWE-285
Ortaİstek gövdesinin tamamı bir veritabanı kaydına yazılıyor
Çağıran, açmayı hiç düşünmediğin alanları ayarlayabilir — `isAdmin`, `role`, `balance`.
veri akışı · CWE-915

Sorular

IDOR ile BOLA arasındaki fark nedir?: Aynı açıktır. OWASP API Security Top 10 buna Broken Object Level Authorization (BOLA) der; eski web Top 10 Insecure Direct Object Reference derdi.
Statik analiz IDOR'u bulabilir mi?: Kısmen. RepoVerse, oturumu veya doğrulanmış kullanıcıyı hiç okumayan handler'larda istekten gelen kullanıcı, hesap veya sipariş tarzı bir ID ile yapılan aramaları işaretler. Hangi kayıtların herkese açık olması gerektiğini yalnızca sen bildiğin için bunları muhtemel olarak işaretler.

İlgili

Güncellendi 2026-10-11