보안 연구자 Simon Koeck는 Google DevSite의 OAuth 세션 쿠키에 노출된 비밀값이 세션 서명 키로도 쓰여 인증 없는 원격 코드 실행으로 이어졌다고 공개했다. 서명된 쿠키에 저장된 pickle 데이터를 서버가 복원하는 구조와 키 재사용이 결합한 문제다. 연구자에 따르면 8월 신고 뒤 9만달러 포상이 결정됐고 10월 7일 수정됐다. 대응은 키 교체와 세션 무효화, 서버 측 상태 보관, 안전한 데이터 형식 사용이다. 관련 검색에서 별도 독립 보도는 확인되지 않아 공개자의 설명 범위로 한정한다.