SSTI
Server-Side Template Injection — invoer van de gebruiker belandt als code in plaats van als data in de template-engine, vaak met directe RCE als gevolg.
Klassiek Jinja2-voorbeeld: render_template_string("Hello " + name). Stuur name = {{ 7*7 }} en het antwoord is ‘Hello 49’. Via {{ config.__class__.__init__.__globals__['os'].popen('id').read() }} escaleert dat naar shell-toegang. Vergelijkbare aanvallen bestaan voor Twig, Freemarker, Velocity, Smarty, Handlebars en ERB.
Verdediging: houd template (statisch bestand) en data (parameters) gescheiden — render nooit gebruikersstrings als template. Een sandbox-modus in de template-engine helpt, maar is in het verleden herhaaldelijk doorbroken. PortSwigger heeft een goede reeks oefenlabs over escalatie.