george0papasotiriou/cve-2026-11107-insecure-direct-object-reference-with-predictable-uuidv1Demonstração educacional do CVE-2026-11107 com API Flask vulnerável e script de exploração, mostrando como identificadores UUIDv1 previsíveis permitem referências diretas inseguras a objetos.
# idor_server.py - API with UUIDv1 user IDs
import uuid, time
from flask import Flask, request, jsonify
app = Flask(__name__)
# Generate predictable UUIDv1 based on timestamp + MAC
users = {
str(uuid.uuid1()): {"name": "Alice", "data": "private1"},
str(uuid.uuid1()): {"name": "Bob", "data": "private2"},
}
@app.route('/user/<user_id>')
def get_user(user_id):
if user_id in users:
return jsonify(users[user_id])
return "Not found", 404
if __name__ == '__main__':
app.run(port=5000)
Uma API REST usa UUID versão 1 como referências diretas a objetos para recursos de usuário. O UUIDv1 contém um componente de timestamp, tornando-o altamente previsível. Um atacante pode enumerar UUIDs de usuário válidos e acessar dados privados.
pip install flask
python idor_server.py
python exploit_idor_uuid.py