ZONE.CI 全球网

本文报道GoogleDevSite平台存在高危漏洞，未认证攻击者可通过构造恶意Pythonpickle载荷的伪造Flask会话Cookie实现远程代码执行。漏洞源于OAuth客户端密钥泄露并被复用为Flask签名密钥，结合不安全的pickle反序列化形成完整攻击链，影响7个谷歌域名。谷歌已于2026年10月7日修复，并向研究员发放9万美元奖金。该案例警示密钥复用与不安全反序列化叠加可导致严重RCE。