Eine Schwachstelle, die die Ausführung von Code aus der Ferne ermöglicht. Sie ist der Schwachstellentyp, dessen Vorhandensein der Forscher in DevSite nachgewiesen hat.
Simon Köck entdeckte eine nicht dokumentierte Remote-Code-Execution-Schwachstelle in der Architektur von Google DevSite. Sie entstand durch die Wiederverwendung eines OAuth-Geheimnisses als Schlüssel zur Signierung von Flask-Sitzungen in Verbindung mit unsicherer Deserialisierung von Python-Daten. Google stufte die Schwachstelle als S0 ein und zahlte eine Prämie von 90.000 US-Dollar, veröffentlichte die Behebung jedoch erst zwei Monate nach der Meldung.