SSTI (Server-Side Template Injection)

Définition

Le SSTI (Server-Side Template Injection) est une vulnérabilité référencée sous CWE-1336, survenant lorsqu'une entrée fournie par un utilisateur est intégrée sans validation ni échappement suffisant directement dans un template côté serveur, permettant à un attaquant d'injecter des expressions ou du code interprété nativement par le moteur de template lui-même, plutôt que d'être traité comme une simple donnée textuelle statique à afficher. Les moteurs de templates modernes comme Jinja2 (Python), Twig (PHP) ou Freemarker (Java) offrent, au-delà du simple remplacement de variables, des capacités d'exécution d'expressions et d'accès à des fonctions du langage sous-jacent, fonctionnalité légitime pour l'affichage conditionnel mais dangereuse lorsqu'une entrée utilisateur non fiable est traitée comme du code template. Une exploitation typique commence par une injection d'expression mathématique simple comme {{7*7}} : si la réponse affiche 49 plutôt que la chaîne littérale, le moteur interprète l'entrée comme du code exécutable, ouvrant la voie, selon le niveau de sandboxing, à l'accès à des objets système et l'exécution de commandes arbitraires (Remote Code Execution), impact bien plus critique qu'un simple XSS. La prévention repose sur la séparation stricte entre logique de template et données utilisateur, l'usage exclusif de placeholders de substitution simple, et le sandboxing rigoureux du moteur de template lorsque l'injection de logique dynamique reste fonctionnellement nécessaire.