RepoVerse is a free tool that turns any public GitHub repository into an explorable 3D city in the browser. Folders become districts, files become buildings sized by how much code they hold, and the dependencies between them become the roads running from one to another. It runs on Three.js and needs no install and no signup for public repositories.

How does RepoVerse build a city from a repository?

It clones the repository, parses every source file into an abstract syntax tree, and reads the import statements to find what depends on what. That graph is laid out as a city: a folder becomes a district, a file becomes a building whose height is its line count, and each resolved import becomes a road. Git history is read in parallel, so how often a file changes and how recently are visible in the skyline rather than buried in a log.

Yes. Scanning public repositories, exploring the 3D city, sharing a link to one and the written summary every city carries are all free and need no account. A paid plan adds private repositories and the security review, which checks every declared dependency against the OSV vulnerability database and reads the repository's own source for hard-coded credentials, injectable queries and disabled certificate checks.

Which languages does RepoVerse support?

Python, JavaScript, TypeScript and TSX are parsed for functions, classes and imports. Go, Rust, Java, Kotlin, C#, PHP, Ruby, C++ and Swift are mapped as files and districts. RepoVerse can also scan a public website instead of a repository, returning its pages, scripts, stylesheets and the technologies it detects.

Does RepoVerse need access to my private code?

Not for public repositories — those are read anonymously and nothing is stored beyond the generated city. Private repositories need you to sign in with GitHub and grant access, and that token is used only to fetch the repository you asked for. The repository itself is never sent to a third party.

What is the metropolis?

The metropolis is a single 3D world holding every repository anyone has scanned. Each one owns the land around it, projects that share dependencies meet at a border, and the dependencies between them are roads with traffic moving along them. You can fly over it and walk into any city you find.

Girdiyi önce doğrularsam eval güvenli olur mu?

eval'i güvenli yapacak kadar sıkı bir doğrulama, eval'i bir ayrıştırıcıyla değiştirecek kadar da sıkıdır. Onun yerine eval'i kaldır.

Kod injection'ın önem derecesi nedir?

Kritik. Saldırgana sunucu sürecinin yetkileriyle kod çalıştırma imkânı verir; bu genelde veritabanı, ortamdaki secret'lar ve makinenin kendisi demektir.

English

Kod injection: eval'e verilen istek girdisi

eval kendisine verilen string'i kod olarak çalıştırır. O string bir istekten geldiğinde, isteği gönderen kişi sunucunun ne çalıştıracağına karar verir.

Örnek

Zafiyetli

app.post("/contributions", (req, res) => {
  const preTax = eval(req.body.preTax);
  const roth = eval(req.body.roth);
  save(preTax, roth);
});

Güvenli

app.post("/contributions", (req, res) => {
  const preTax = Number.parseInt(req.body.preTax, 10);
  const roth = Number.parseInt(req.body.roth, 10);
  if (![preTax, roth].every(Number.isFinite)) return res.sendStatus(400);
  save(preTax, roth);
});

Nasıl oluşur

Geliştiriciler "42"yi 42'ye çevirmek veya bir formülü hesaplamak için eval'e başvurur. Ama require('child_process').execSync('id') de geçerli bir JavaScript'tir. Aynısı new Function, vm.runInNewContext, string ile setTimeout ve kullanıcının verdiği şablon metnini derlemesi istenen şablon motorları için de geçerlidir. OWASP NodeGoat katkı formunda tam olarak bu hatayı barındırır.

Nasıl düzeltilir

İstek verisini çalıştırmak için neredeyse hiçbir zaman bir sebep yoktur.

Sayıları Number veya parseInt ile ayrıştır ve doğrula
Yapılandırılmış veri için JSON.parse kullan
Kullanıcının seçtiği davranış için izin verilen işlemlerden oluşan bir tablo kullan
Sabit şablonları render et ve kullanıcı verisini yalnızca değişken olarak geçir

RepoVerse bunu nasıl bulur

Kritikİstek girdisi kod olarak çalıştırılıyor
İsteği gönderen, sunucuda hangi JavaScript'in çalışacağını seçer — sürecin yetkileriyle dosya okur, veritabanına ulaşır, shell açar.
veri akışı · CWE-95
YüksekBir değerden kod çalıştırılıyor
`eval`, `exec` veya `new Function` literal olmayan bir şeyle çağrılıyor.
örüntü
Yüksekİstek girdisi bir şablonu seçiyor veya derliyor
Şablon motorları ifade çalıştırır; kullanıcının kontrol ettiği şablon metni veya görünüm adı kod çalıştırmaya ya da dosya ifşasına yol açabilir.
veri akışı · CWE-1336

Sorular

Girdiyi önce doğrularsam eval güvenli olur mu?: eval'i güvenli yapacak kadar sıkı bir doğrulama, eval'i bir ayrıştırıcıyla değiştirecek kadar da sıkıdır. Onun yerine eval'i kaldır.
Kod injection'ın önem derecesi nedir?: Kritik. Saldırgana sunucu sürecinin yetkileriyle kod çalıştırma imkânı verir; bu genelde veritabanı, ortamdaki secret'lar ve makinenin kendisi demektir.

İlgili

Güncellendi 2026-10-11