Flask è un framework web Python leggero usato per creare applicazioni web, API e strumenti interni. È popolare perché è flessibile e semplice, ma questo significa anche che le decisioni di sicurezza sono spesso lasciate allo sviluppatore. Nelle distribuzioni comuni, Flask memorizza i dati di sessione in cookie firmati, quindi il browser conserva uno stato visibile al client mentre il server usa una chiave segreta per verificare che il cookie non sia stato alterato.
Questo è importante in ambito di sicurezza perché una chiave segreta trapelata o riutilizzata può consentire a un attaccante di falsificare i cookie di sessione e impersonare gli utenti o modificare lo stato dell'applicazione. Flask diventa rischioso anche quando i dati di sessione, i callback OAuth o altri input considerati affidabili vengono passati a funzionalità insicure come la deserializzazione Python pickle. Chi difende i sistemi dovrebbe mantenere i segreti isolati, ruotarli con attenzione, evitare di inserire dati sensibili nei cookie e non deserializzare mai dati non attendibili, anche se sembrano validi.