SSTI
Server-Side Template Injection — användarinput hamnar i template-motorn som kod istället för data, ofta direkt RCE.
Klassiskt exempel i Jinja2: render_template_string("Hello " + name). Skicka name = {{ 7*7 }} → svaret blir "Hello 49". Eskalera till {{ config.__class__.__init__.__globals__['os'].popen('id').read() }} = shell access. Motsvarande för Twig, Freemarker, Velocity, Smarty, Handlebars, ERB.
Skydd: separera template (statisk fil) från data (parametrar) — render aldrig användarsträngar som template. Sandbox-mode i template-motorn hjälper men har historiskt brutits. PortSwigger har bra labbserie om eskalering.