Encontré una vulnerabilidad de ejecución remota de código de $90,000 en Google
I Found a $90k Remote Code Execution Vulnerability in Google
Simon Koeck descubrió que la cookie de sesión de Flask en developers.google.com contenía el client_secret de OAuth de Google y que ese mismo secreto firmaba la cookie. Al poder falsificar sesiones válidas, logró inyectar un pickle malicioso que se ejecutaba en el servidor. La falla afectaba a toda la plataforma DevSite, incluidos firebase.google.com y developer.android.com. Google pagó $90,000 y lo corrigió en octubre de 2026.
Una clave de firma pública más este sink es RCE no autenticada.
- option_greek
¿cómo pasa algo así las revisiones de código y diseño? ¿este código (el código con el bug) lo escribió una IA? No solo la clave que firma la cookie estaba dentro de la propia cookie, sino que además usa pickle, del que incluso los pesos de los modelos se han alejado. Estoy un poco estupefacto ante la naturaleza tan de novato de esta causa raíz.
- stonyrubbish
¿Tienes algún consejo para aspirantes a cazadores de bug bounties? ¿Tienes algún método para poder encontrar vulnerabilidades como esta, o mucha experiencia previa?
- EdwardDiego
Elección audaz usar el pronombre "yo" repetidamente en lugar de "Claude": tú no descubriste esto, lo descubrió Claude, y luego Claude escribió obviamente el post del blog.
Ah, quizá por eso se sustituyó "Claude" por "yo", porque Claude escribió este post del blog desde una perspectiva en primera persona.
- consumer451
Perdón por el meta, pero el discurso en muchos de los comentarios me parece una locura.
"Claude hizo esto, no tú" ¿significa eso que los humanos no tienen ninguna agencia cuando usan un LLM? ¿Es ese el argumento?
Quizá la norma debería ser acreditar al LLM y al arnés usado, tipo "Usé ___ para ayudarme a encontrar un RCE", pero puedo ver argumentos para no hacerlo en algunos casos.
edit: El hilo gigante con esto ya ha sido marcado, así que algunos usuarios puede que no lo vean.
- iJohnDoe
Si esto fuera Microsoft, habrían recibido un cupón de 10% de descuento en un pavo de Acción de Gracias, canjeable solo en 2030 y solo en el mes de marzo, debe comprarse en efectivo, no transferible.