Google DevSiteに深刻な脆弱性、認証なしでリモートコード実行が可能に
Googleの開発者向けドキュメント基盤「DevSite」に深刻なセキュリティ脆弱性が存在し、認証なしの攻撃者が、悪意あるPythonのpickleペイロードを埋め込んだFlaskセッションCookieを偽造することで、Google運営のサービス上で任意のコードを実行できた可能性があることが分かりました。 セキュリテ
Googleの開発者向けドキュメント基盤「DevSite」に深刻なセキュリティ脆弱性が存在し、認証なしの攻撃者が、悪意あるPythonのpickleペイロードを埋め込んだFlaskセッションCookieを偽造することで、Google運営のサービス上で任意のコードを実行できた可能性があることが分かりました。 セキュリテ
Simonkoeck氏によると、Googleはこの問題を2026年10月7日に修正しました。同氏は、本番環境のインフラに対してOSコマンドを実行する代わりに、遅延時間を制御した実行によって攻撃が成立することを実証しました。 ペイロードをデコードして展開すると、CSRFトークンと、google_oauth2_flow_