RepoVerse is a free tool that turns any public GitHub repository into an explorable 3D city in the browser. Folders become districts, files become buildings sized by how much code they hold, and the dependencies between them become the roads running from one to another. It runs on Three.js and needs no install and no signup for public repositories.

How does RepoVerse build a city from a repository?

It clones the repository, parses every source file into an abstract syntax tree, and reads the import statements to find what depends on what. That graph is laid out as a city: a folder becomes a district, a file becomes a building whose height is its line count, and each resolved import becomes a road. Git history is read in parallel, so how often a file changes and how recently are visible in the skyline rather than buried in a log.

Yes. Scanning public repositories, exploring the 3D city, sharing a link to one and the written summary every city carries are all free and need no account. A paid plan adds private repositories and the security review, which checks every declared dependency against the OSV vulnerability database and reads the repository's own source for hard-coded credentials, injectable queries and disabled certificate checks.

Which languages does RepoVerse support?

Python, JavaScript, TypeScript and TSX are parsed for functions, classes and imports. Go, Rust, Java, Kotlin, C#, PHP, Ruby, C++ and Swift are mapped as files and districts. RepoVerse can also scan a public website instead of a repository, returning its pages, scripts, stylesheets and the technologies it detects.

Does RepoVerse need access to my private code?

Not for public repositories — those are read anonymously and nothing is stored beyond the generated city. Private repositories need you to sign in with GitHub and grant access, and that token is used only to fetch the repository you asked for. The repository itself is never sent to a third party.

What is the metropolis?

The metropolis is a single 3D world holding every repository anyone has scanned. Each one owns the land around it, projects that share dependencies meet at a border, and the dependencies between them are roads with traffic moving along them. You can fly over it and walk into any city you find.

MongoDB'de SQL olmadığı için injection olmaz mı?

Hayır. $where JavaScript çalıştırır ve istekten gelen sorgu operatörleri hangi belgelerin eşleşeceğini değiştirir. İkisi de CWE-943 olarak sınıflandırılır.

RepoVerse NoSQL injection'ı nasıl tespit ediyor?

İstek girdisini $where string'lerine kadar — veri erişim katmanına giden dosyalar arası yollar dahil — izler ve operatör nesnesi taşıyabilecek, doğrudan filtre değeri olarak kullanılan istek değerlerini işaretler.

English

NoSQL injection: MongoDB sorgularını istekten yeniden yazmak

NoSQL veritabanları SQL ayrıştırmaz ama yine de yapıyı yorumlar. String beklediğin yere nesne gönderen ya da metni bir $where ifadesinin içine düşen bir istek, sorgunun anlamını değiştirir.

Örnek

Zafiyetli

// $where runs JavaScript inside MongoDB
allocations.find({
  $where: `this.userId == ${userId} && this.stocks > '${req.query.threshold}'`
});

// {"password": {"$ne": null}} matches any user
users.findOne({ user: req.body.user, password: req.body.password });

Güvenli

const threshold = Number.parseInt(req.query.threshold, 10);
if (!(threshold >= 0 && threshold <= 99)) return res.sendStatus(400);
allocations.find({ userId, stocks: { $gt: threshold } });

users.findOne({ user: String(req.body.user) });
// then compare the password hash with bcrypt.compare

Nasıl oluşur

İki biçimi var. $where, MongoDB'nin her belge için çalıştırdığı JavaScript'i alır; 1'; return true; ' gibi bir değer her şeyi döndürür, sonsuz bir döngü sunucuyu kilitleyebilir. Operatör injection'ı daha sessizdir: gövde ayrıştırıcılar password[$ne]= değerini {"$ne": ""} nesnesine çevirir ve istek değerini olduğu gibi koyan bir giriş sorgusu her hesapla eşleşir.

Nasıl düzeltilir

İstek verisini düz değer olarak tut.

$where kullanma; koşulları sorgu operatörleriyle yaz
Sorgudan önce değerleri beklediğin türe çevir (String, Number)
Mongoose sanitizeFilter'ı aç veya girdiden $ ile başlayan anahtarları temizle
Kullanıcıyı adıyla bul, sonra parola hash'ini ayrıca doğrula

RepoVerse bunu nasıl bulur

Yüksekİstek girdisi MongoDB `$where` ifadesinin içinde çalışıyor
`$where`, veritabanının çalıştırdığı JavaScript'tir. Özel bir değer tüm belgeleri döndürebilir (`1'; return true; '`) veya sunucuyu kilitleyebilir (`';while(true){}'`).
veri akışı · CWE-943
Ortaİstek değeri doğrudan MongoDB filtresinde kullanılıyor
Gövde ayrıştırıcı nesne kabul ediyorsa, o alana gönderilen `{"$ne": null}` veya `{"$gt": ""}` her belgeyle eşleşir — klasik giriş atlatma.
veri akışı · CWE-943

Sorular

MongoDB'de SQL olmadığı için injection olmaz mı?: Hayır. $where JavaScript çalıştırır ve istekten gelen sorgu operatörleri hangi belgelerin eşleşeceğini değiştirir. İkisi de CWE-943 olarak sınıflandırılır.
RepoVerse NoSQL injection'ı nasıl tespit ediyor?: İstek girdisini $where string'lerine kadar — veri erişim katmanına giden dosyalar arası yollar dahil — izler ve operatör nesnesi taşıyabilecek, doğrudan filtre değeri olarak kullanılan istek değerlerini işaretler.

İlgili

Güncellendi 2026-10-11