Une vulnérabilité permettant d’exécuter du code à distance, qui est le type de vulnérabilité dont le chercheur a démontré l’existence dans DevSite.
Simon Köck a découvert une vulnérabilité non documentée d’exécution de commandes à distance dans l’architecture de Google DevSite, résultant de la réutilisation d’un secret OAuth comme clé de signature des sessions Flask, combinée à une désérialisation non sécurisée de données Python. Google a classé la vulnérabilité S0 et versé une prime de 90 000 dollars, mais n’a publié le correctif que deux mois après le signalement.