Insecure Deserialization

Google 为 DevSite 中的远程命令执行漏洞支付了 9 万美元，但两个月后才修复

Simon Köck 发现了 Google DevSite 架构中一个未公开的远程命令执行漏洞。该漏洞源于将 OAuth 密钥重复用作 Flask 会话签名密钥，并结合对 Python 数据的不安全反序列化。Google 将该漏洞评级为 S0，并支付了 9 万美元奖励，但直到报告提交两个月后才发布修复。