flawopen.com/SSTI/समझाया गया

Server-side template injection क्या है?

# Python / Jinja2
template = f"Hello {name}!"
return render_template_string(template)

# Input: {{ 7*7 }} renders as "49"
# This confirms expression evaluation;
# impact still depends on engine access.

// Java / Freemarker
String tpl = "Welcome " + userName;
new Template("t", tpl, cfg)
    .process(model, out);

# The template is a fixed string the
# developer wrote. The user value is
# passed in as a variable.
return render_template(
    "greeting.html", name=name
)

# Or with a literal template string:
return render_template_string(
    "Hello {{ name }}!", name=name
)

// Java equivalent: template from file,
// user value in the model map.

महत्वपूर्ण अंतर

हर template engine को दो inputs मिलते हैं: template और context data। Template एक program है; data वे values हैं जिन्हें वह पढ़ता है। SSTI तब होती है जब user input को data से template source की श्रेणी में जाने दिया जाता है।

यह SQL injection जैसी संरचनात्मक गलती है, जहाँ data query text में जोड़ा जाता है, और Log4Shell जैसी भी, जहाँ data log message से expression evaluator तक पहुँचा। सुधार का सिद्धांत समान है: program स्थिर रखें और अविश्वसनीय values parameter channel से दें।

कब प्रभाव में code execution हो सकता है

यदि engine template को शक्तिशाली objects या methods देता है, तो attacker संवेदनशील application क्षमताओं तक पहुँच सकता है। Code execution engine, version, configuration, sandbox और exposed data पर निर्भर है। अन्य प्रभाव data disclosure या resource exhaustion हो सकते हैं। User-controlled template source को सक्रिय logic मानें; accessible objects और rendering resources सीमित किए बिना केवल sandbox पर निर्भर न रहें।

कैसे पहचानें

अक्सर पूछे जाने वाले प्रश्न

संदर्भ

• CWE-1336 — Improper Neutralization of Special Elements Used in a Template Engine
• PortSwigger Web Security Academy — server-side template injection
• OWASP Testing Guide — testing for SSTI
• Is Jinja2's render_template_string() safe?
• Are Freemarker and Velocity templates safe with user input?
• Jinja documentation — Sandbox security considerations