XPath Injection: Payload, Login Bypass e Blind Exploitation su Documenti XML

Fri, 20 Mar 2026 00:00:00 +0000

La XPath Injection è la SQL Injection dei documenti XML. Stesso principio: l’applicazione concatena l’input utente in una query senza sanitizzarlo, e l’attaccante manipola quella query per bypassare la logica o estrarre dati sensibili.

La differenza è il target: invece di un database relazionale, attacchi un documento XML interrogato con XPath (XML Path Language).

La vuln è rara — presente nel 5% circa dei pentest su applicazioni enterprise — ma l’impatto è alto: i file XML usati come backend di autenticazione contengono spesso credenziali in chiaro, hash deboli, o configurazioni interne. Un singolo file .xml esposto può aprire l’accesso a tutto il sistema.

SSTI (Server-Side Template Injection): Detection, Payload, Twig, Jinja2 e RCE

Sun, 15 Mar 2026 00:00:00 +0000

I template engine sono ovunque nelle applicazioni moderne: Jinja2 per Flask/Django, Twig per Symfony/Laravel, FreeMarker per Spring Boot, Thymeleaf per applicazioni Java Spring, ERB per Ruby on Rails, Velocity in ambienti enterprise legacy, Mako per Pyramid/Python, Pebble in microservizi Java, Smarty nei CMS PHP di vecchia generazione. Il problema nasce quando lo sviluppatore inserisce l’input dell’utente dentro il template invece di passarlo come variabile.

La Server-Side Template Injection (SSTI) è una vulnerabilità server-side che porta a RCE completa nella maggior parte dei casi — accesso diretto al sistema operativo, filesystem e credenziali dell’applicazione. Non è paragonabile alla XSS: non colpisce il browser della vittima, colpisce il server.

Injection-Attacks on Ethical Hacking | Pentest e Sicurezza Informatica | Hackita

XPath Injection: Payload, Login Bypass e Blind Exploitation su Documenti XML

SSTI (Server-Side Template Injection): Detection, Payload, Twig, Jinja2 e RCE