Door een ontwerpfout in Google's webapplicaties is het voor aanvallers mogelijk om via een klein probleempje in bijvoorbeeld Google Maps, toegang te krijgen tot Gmail of Google Apps accounts, maar ook het omzeilen van de de browser's Same Origin Policy behoort tot de mogelijkheden. Zes maanden geleden ontdekte de Israëlische beveiligingsonderzoeker Aviv Raff dat Google.com te maken heeft met een 'cross-domain web-application sharing security design flaw'. Verschillende Google webapplicaties zijn via subdomeinen van Google.com benaderbaar. Een probleem in het ene subdomein is op het andere te misbruiken.

Ondanks het feit dat Raff het probleem een half jaar geleden kenbaar maakte, is het nog steeds niet verholpen. Een andere beveiligingsonderzoeker, Adrian Pastor, heeft vandaag een proof-of-concept exploit gepubliceerd waarbij het mogelijk is om via frame injection de ene Google dienst zich voor de ander uit te laten geven. De aanval gebruikt de ontwerpfout van Raff om het slachtoffer te laten geloven dat hij zich op een legitieme inlogpagina bevindt. Aangezien de exploit van Pastor vandaag online verscheen en Google niets van zich laat horen, hoopt Raff dat zijn full-disclosure Google dwingt om actie te ondernemen.