Если компания Google не следит за тем, чтобы адрес в параметре redirect_to принадлежал одному из ее собственных сайтов, злоумышленник может подставить в этот параметр свой URL-адрес