george0papasotiriou/cve-2026-11107-insecure-direct-object-reference-with-predictable-uuidv1Обучающее демо CVE-2026-11107 с уязвимым Flask API и скриптом эксплойта, показывающее, как предсказуемые идентификаторы UUIDv1 позволяют осуществлять небезопасные прямые ссылки на объекты.
# idor_server.py - API with UUIDv1 user IDs
import uuid, time
from flask import Flask, request, jsonify
app = Flask(__name__)
# Generate predictable UUIDv1 based on timestamp + MAC
users = {
str(uuid.uuid1()): {"name": "Alice", "data": "private1"},
str(uuid.uuid1()): {"name": "Bob", "data": "private2"},
}
@app.route('/user/<user_id>')
def get_user(user_id):
if user_id in users:
return jsonify(users[user_id])
return "Not found", 404
if __name__ == '__main__':
app.run(port=5000)
REST API использует UUID версии 1 в качестве прямых ссылок на объекты пользовательских ресурсов. UUIDv1 содержит компонент временной метки, что делает его легко предсказуемым. Злоумышленник может перебрать действительные UUID пользователей и получить доступ к приватным данным.
pip install flask
python idor_server.py
python exploit_idor_uuid.py