研究员发现Google开发者文档站OAuth漏洞获9万美元赏金

研究人员在分析Google开发者文档站点（developers.google.com）时，发现该平台的OAuth流程存在严重安全缺陷。具体而言，站点在Flask session cookie的签名与反序列化处理中，将OAuth client_secret同时作为签名密钥使用，并采用Python的pickle机制进行反序列化，这一组合为攻击者构造远程代码执行（RCE）载荷提供了条件。该漏洞属于高危级别，Google通过漏洞奖励计划向研究员Simon Koeck支付了9万美元赏金。最新报道披露了该漏洞的技术细节、发现过程以及赏金金额。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。