CVE-2026-11104 – SSTI en Python mediante el bypass del filtro |attr de Jinja2

Código del programa (Flask)

# vulnerable_app.py - Flask with Jinja2 SSTI via 'attr' filter
from flask import Flask, request, render_template_string

app = Flask(__name__)

@app.route('/')
def index():
    name = request.args.get('name', 'World')
    # UNSAFE: directly renders user input as template
    template = f"<h1>Hello {name}!</h1>"
    return render_template_string(template)

if __name__ == '__main__':
    app.run(port=5000)

CVE-2026-11104 – Inyección de plantillas del lado del servidor mediante el filtro |attr de Jinja2

Resumen

Una aplicación Flask utiliza render_template_string con entrada del usuario, lo que permite la inyección de plantillas del lado del servidor. Incluso si se bloquean algunas palabras clave, el filtro |attr puede utilizarse para omitir los filtros y lograr la ejecución remota de código.

Detalles de la vulnerabilidad

• Tipo: SSTI
• Impacto: Ejecución remota de código, compromiso total del servidor.
• Causa raíz: Los datos no confiables se colocan directamente en una plantilla Jinja2 sin sandboxing, lo que permite a un atacante recorrer las partes internas de los objetos de Python y llamar a funciones peligrosas.

Demostración del exploit

1. Inicia la aplicación vulnerable:
   root@kitploit:~

   pip install flask
   python vulnerable_app.py
   

2. Ejecuta el exploit:
   root@kitploit:~

   python exploit_ssti_attr.py