---

CVE-2026-11104 – SSTI в Python через обход фильтра |attr в Jinja2

Код программы (Flask)

# vulnerable_app.py - Flask with Jinja2 SSTI via 'attr' filter
from flask import Flask, request, render_template_string

app = Flask(__name__)

@app.route('/')
def index():
    name = request.args.get('name', 'World')
    # UNSAFE: directly renders user input as template
    template = f"<h1>Hello {name}!</h1>"
    return render_template_string(template)

if __name__ == '__main__':
    app.run(port=5000)

CVE-2026-11104 – Серверная инъекция шаблонов через фильтр |attr в Jinja2

Обзор

Flask-приложение использует render_template_string с пользовательским вводом, что позволяет осуществлять серверную инъекцию шаблонов. Даже если некоторые ключевые слова заблокированы, фильтр |attr можно использовать для обхода фильтров и достижения удалённого выполнения кода.

Детали уязвимости

• Тип: SSTI
• Воздействие: удалённое выполнение кода, полная компрометация сервера.
• Корневая причина: недоверенные данные помещаются непосредственно в шаблон Jinja2 без песочницы, что позволяет атакующему обходить внутренности объектов Python и вызывать опасные функции.

Демонстрация эксплойта

1. Запустите уязвимое приложение:

   pip install flask
   python vulnerable_app.py
   

2. Запустите эксплойт:

   python exploit_ssti_attr.py