RepoVerse is a free tool that turns any public GitHub repository into an explorable 3D city in the browser. Folders become districts, files become buildings sized by how much code they hold, and the dependencies between them become the roads running from one to another. It runs on Three.js and needs no install and no signup for public repositories.

How does RepoVerse build a city from a repository?

It clones the repository, parses every source file into an abstract syntax tree, and reads the import statements to find what depends on what. That graph is laid out as a city: a folder becomes a district, a file becomes a building whose height is its line count, and each resolved import becomes a road. Git history is read in parallel, so how often a file changes and how recently are visible in the skyline rather than buried in a log.

Yes. Scanning public repositories, exploring the 3D city, sharing a link to one and the written summary every city carries are all free and need no account. A paid plan adds private repositories and the security review, which checks every declared dependency against the OSV vulnerability database and reads the repository's own source for hard-coded credentials, injectable queries and disabled certificate checks.

Which languages does RepoVerse support?

Python, JavaScript, TypeScript and TSX are parsed for functions, classes and imports. Go, Rust, Java, Kotlin, C#, PHP, Ruby, C++ and Swift are mapped as files and districts. RepoVerse can also scan a public website instead of a repository, returning its pages, scripts, stylesheets and the technologies it detects.

Does RepoVerse need access to my private code?

Not for public repositories — those are read anonymously and nothing is stored beyond the generated city. Private repositories need you to sign in with GitHub and grant access, and that token is used only to fetch the repository you asked for. The repository itself is never sent to a third party.

What is the metropolis?

The metropolis is a single 3D world holding every repository anyone has scanned. Each one owns the land around it, projects that share dependencies meet at a border, and the dependencies between them are roads with traffic moving along them. You can fly over it and walk into any city you find.

Kendi alan adımla başlayan bir URL SSRF'ye karşı güvenli mi?

Host kısmı sabitse ve girdi yalnızca yolu dolduruyorsa sunucu başka yere yönlendirilemez. RepoVerse sabit bir host'la veya API_BASE_URL gibi sabit bir tabanla başlayan URL'yi güvenli sayar ve hâlâ host'a ulaşabilen girdiyi raporlamaya devam eder.

RepoVerse kendi web sitesi tarayıcısında SSRF'yi nasıl önlüyor?

Her istek ve her yönlendirme çözümlenir ve özel, loopback, link-local ve rezerve aralıklara karşı kontrol edilir; yalnızca 80 ve 443 portları kullanılır ve soket kontrol edilen adrese bağlanır.

English

SSRF: sunucunun nereye bağlanacağına istek karar verdiğinde

Sunucu tarafı istek sahteciliği sunucunu bir proxy'ye çevirir. Kodunun çektiği URL'yi istek girdisi seçiyorsa, saldırgan sunucunun ulaşabildiği her yere ulaşır: iç API'ler, admin panelleri, bulut metadata servisi.

Örnek

Zafiyetli

app.get("/preview", async (req, res) => {
  const response = await fetch(req.query.url);
  res.send(await response.text());
});

Güvenli

const API = "https://api.example.com/quotes/";

app.get("/quote", async (req, res) => {
  const symbol = String(req.query.symbol);
  if (!/^[A-Z]{1,5}$/.test(symbol)) return res.sendStatus(400);
  const response = await fetch(API + encodeURIComponent(symbol), { redirect: "error" });
  res.json(await response.json());
});

Nasıl oluşur

URL önizlemeleri, webhook'lar, PDF oluşturucular ve URL'den içe aktarma özellikleri kullanıcıların verdiği adresleri çeker. http://169.254.169.254/latest/meta-data/ değeri bir bulut sanal makinesinden kendi kimlik bilgilerini ister; http://localhost:6379 bir iç Redis ile konuşur. Yönlendirmeler ve özel adreslere çözümlenen DNS adları basit engel listelerini atlatır.

Nasıl düzeltilir

Girdinin URL'den olabildiğince az şey seçmesine izin ver.

URL'yi sabit bir tabandan kur ve yalnızca değişken kısmı doğrula
Rastgele host'lar bir özellikse adı çözümle ve özel, loopback ve link-local adresleri reddet — her yönlendirmede de
Kontrol ettiğin adrese bağlan, böylece DNS rebinding onu değiştiremez
Yönlendirmeleri kapat veya yeniden kontrol et; yanıt boyutunu ve süresini sınırla

RepoVerse bunu nasıl bulur

Yüksekİstek girdisi sunucunun HTTP isteğini nereye atacağını seçiyor
Uygun ağ koşullarında sunucu iç servisleri veya bulut metadata uç noktasını (169.254.169.254) çağırmaya ve yanıtı geri vermeye zorlanabilir.
veri akışı · CWE-918
Yüksekİstek, çağıranın verdiği bir URL'e gönderiliyor
Adresi isteği yapan seçiyor; bu kod `169.254.169.254`'ü seve seve çeker ve arkasındaki bulut kimlik bilgilerini geri verir.
örüntü · CWE-918

Sorular

Kendi alan adımla başlayan bir URL SSRF'ye karşı güvenli mi?: Host kısmı sabitse ve girdi yalnızca yolu dolduruyorsa sunucu başka yere yönlendirilemez. RepoVerse sabit bir host'la veya API_BASE_URL gibi sabit bir tabanla başlayan URL'yi güvenli sayar ve hâlâ host'a ulaşabilen girdiyi raporlamaya devam eder.
RepoVerse kendi web sitesi tarayıcısında SSRF'yi nasıl önlüyor?: Her istek ve her yönlendirme çözümlenir ve özel, loopback, link-local ve rezerve aralıklara karşı kontrol edilir; yalnızca 80 ve 443 portları kullanılır ve soket kontrol edilen adrese bağlanır.

İlgili

Güncellendi 2026-10-11