george0papasotiriou/cve-2026-11104-python-ssti-via-jinja2-attr-filter-bypassExploit PoC per CVE-2026-11104 che dimostra il bypass del filtro attr di Jinja2 in Flask, consentendo l'iniezione di template lato server e l'esecuzione remota di codice.
|attr di Jinja2 per SSTI in Python# vulnerable_app.py - Flask with Jinja2 SSTI via 'attr' filter
from flask import Flask, request, render_template_string
app = Flask(__name__)
@app.route('/')
def index():
name = request.args.get('name', 'World')
# UNSAFE: directly renders user input as template
template = f"<h1>Hello {name}!</h1>"
return render_template_string(template)
if __name__ == '__main__':
app.run(port=5000)
|attrUn'applicazione Flask utilizza render_template_string con input utente, consentendo l'iniezione di template lato server. Anche se alcune parole chiave vengono bloccate, il filtro |attr può essere utilizzato per aggirare i filtri e ottenere l'esecuzione remota di codice.
pip install flask
python vulnerable_app.py
python exploit_ssti_attr.py