---

CVE-2026-11104 – Python-SSTI über den Jinja2-|attr-Filter-Bypass

Programmcode (Flask)

# vulnerable_app.py - Flask with Jinja2 SSTI via 'attr' filter
from flask import Flask, request, render_template_string

app = Flask(__name__)

@app.route('/')
def index():
    name = request.args.get('name', 'World')
    # UNSAFE: directly renders user input as template
    template = f"<h1>Hello {name}!</h1>"
    return render_template_string(template)

if __name__ == '__main__':
    app.run(port=5000)

CVE-2026-11104 – Server-seitige Template-Injection über den Jinja2-|attr-Filter

Übersicht

Eine Flask-Anwendung verwendet render_template_string mit Benutzereingaben, was eine serverseitige Template-Injection ermöglicht. Selbst wenn einige Schlüsselwörter blockiert werden, kann der |attr-Filter verwendet werden, um Filter zu umgehen und eine Remote-Code-Ausführung zu erreichen.

Details zur Schwachstelle

• Typ: SSTI
• Auswirkung: Remote-Code-Ausführung, vollständige Server-Kompromittierung.
• Ursache: Nicht vertrauenswürdige Daten werden direkt in eine Jinja2-Vorlage ohne Sandboxing eingefügt, wodurch ein Angreifer Python-Objekt-Interna durchlaufen und gefährliche Funktionen aufrufen kann.

Exploit-Demonstration

1. Starten Sie die verwundbare App:

   pip install flask
   python vulnerable_app.py
   

2. Führen Sie den Exploit aus:

   python exploit_ssti_attr.py