CVE-2026-11104 – SSTI en Python via contournement du filtre |attr de Jinja2

Code du programme (Flask)

# vulnerable_app.py - Flask with Jinja2 SSTI via 'attr' filter
from flask import Flask, request, render_template_string

app = Flask(__name__)

@app.route('/')
def index():
    name = request.args.get('name', 'World')
    # UNSAFE: directly renders user input as template
    template = f"<h1>Hello {name}!</h1>"
    return render_template_string(template)

if __name__ == '__main__':
    app.run(port=5000)

CVE-2026-11104 – Injection de modèles côté serveur via le filtre |attr de Jinja2

Vue d'ensemble

Une application Flask utilise render_template_string avec une entrée utilisateur, ce qui permet une injection de modèles côté serveur. Même si certains mots-clés sont bloqués, le filtre |attr peut être utilisé pour contourner les filtres et exécuter du code à distance.

Détails de la vulnérabilité

• Type: SSTI
• Impact: Exécution de code à distance, compromission totale du serveur.
• Root Cause: Des données non fiables sont placées directement dans un modèle Jinja2 sans sandboxing, ce qui permet à un attaquant de parcourir les attributs internes des objets Python et d'appeler des fonctions dangereuses.

Démonstration de l'exploit

1. Démarrez l'application vulnérable :
   root@kitploit:~

   pip install flask
   python vulnerable_app.py
   

2. Exécutez l'exploit :
   root@kitploit:~

   python exploit_ssti_attr.py