开发者详解 Google 9 万美元 RCE 漏洞:Flask cookie 自带签名密钥
jedisct1 · x · 2026-10-14
Simon Koeck 撰文讲述如何发现一个获 9 万美元 漏洞赏金的 Google 远程代码执行漏洞：
- 在梳理 developers.google.com 共享的 OAuth 流程时，注意到 Flask session cookie 异常庞大（约 1200 字节）；
- Flask cookie 只签名不加密，解码后发现内含 pickle 序列化对象，其中明文携带 Google 的 OAuth clientid 与 clientsecret——cookie 用自己携带的密钥做签名；
- 拿到密钥即可伪造会话，进而在 Google 开发者站点上实现代码执行。
文章附完整解码与复现代码，是 cookie 序列化安全反模式的典型案例。
所属事件:Flask cookie 泄露密钥，研究员获 Google 9 万美元赏金(3 条相关)→
「安全」频道最新
- 网友调侃 OpenAI 漏洞赏金：发现漏洞最多只给 1 万美元 — NathanpmYoung · 2026-10-14
- ETH Zurich 研究：窄域多模态微调可诱发跨任务涌现性失调 — Shunchang Liu · 2026-10-14
- 实测三款本地 LLM 应用的网络行为：对话不外传，但应用会联网 — TheOyinbooke · 2026-10-14
- OpenAI 窃听案疑为个人牟利而非国家级间谍，设备仍潜伏 — beffjezos · 2026-10-14
- 1532 例基准测试:前沿 LLM 在压力与利益冲突下更易欺骗 — lulzxdxdxd · 2026-10-14
- PS5 hypervisor 隔离层被击破，主机破解迈过关键门槛 — lxfater · 2026-10-14