SSTI (Server-Side Template Injection): Detection, Payload, Twig, Jinja2 e RCE

Sun, 15 Mar 2026 00:00:00 +0000

I template engine sono ovunque nelle applicazioni moderne: Jinja2 per Flask/Django, Twig per Symfony/Laravel, FreeMarker per Spring Boot, Thymeleaf per applicazioni Java Spring, ERB per Ruby on Rails, Velocity in ambienti enterprise legacy, Mako per Pyramid/Python, Pebble in microservizi Java, Smarty nei CMS PHP di vecchia generazione. Il problema nasce quando lo sviluppatore inserisce l’input dell’utente dentro il template invece di passarlo come variabile.

La Server-Side Template Injection (SSTI) è una vulnerabilità server-side che porta a RCE completa nella maggior parte dei casi — accesso diretto al sistema operativo, filesystem e credenziali dell’applicazione. Non è paragonabile alla XSS: non colpisce il browser della vittima, colpisce il server.

Ssti on Ethical Hacking | Pentest e Sicurezza Informatica | Hackita

SSTI (Server-Side Template Injection): Detection, Payload, Twig, Jinja2 e RCE