oauth2client

Google a versé 90 000 dollars pour une vulnérabilité d’exécution de commandes à distance dans DevSite, puis l’a corrigée deux mois plus tard

Simon Köck a découvert une vulnérabilité non documentée d’exécution de commandes à distance dans l’architecture de Google DevSite, résultant de la réutilisation d’un secret OAuth comme clé de signature des sessions Flask, combinée à une désérialisation non sécurisée de données Python. Google a classé la vulnérabilité S0 et versé une prime de 90 000 dollars, mais n’a publié le correctif que deux mois après le signalement.